Die Aktie von Coinbase stürzte am Donnerstagvormittag um über sieben Prozent ab, nachdem das Unternehmen in einer regulatorischen Mitteilung ein potenzielles Verlustvolumen zwischen 180 und 400 Millionen US-Dollar infolge eines Datendiebstahls offengelegt hatte. Betroffen ist weniger als ein Prozent der monatlich aktiven Nutzer – laut eigenen Angaben bis zu 97.000 Kunden.
Das Leak traf den größten US-Krypto-Broker zu einem denkbar ungünstigen Zeitpunkt: Nur wenige Tage vor dem bevorstehenden Aufstieg in den S&P 500 wurde bekannt, dass mehrere externe Support-Mitarbeiter außerhalb der USA offenbar durch Bestechung sensible Kundendaten an Cyberkriminelle weitergegeben haben. Darunter: Namen, Adressen, E-Mail- und Telefonnummern, Ausweiskopien, verschlüsselte Bank- und Sozialversicherungsdaten sowie Kontostände und Transaktionshistorien.
Coinbase wurde am Sonntag per E-Mail über die Kompromittierung informiert – inklusive Lösegeldforderung in Höhe von 20 Millionen US-Dollar in Bitcoin. Die Unternehmensleitung reagierte öffentlich und entschieden: Man werde nicht zahlen. Stattdessen lobte CEO Brian Armstrong eine Belohnung von ebenfalls 20 Millionen US-Dollar für Hinweise zur Ergreifung der Täter aus.
Parallel dazu hat Coinbase alle involvierten Mitarbeiter entlassen, Strafanzeigen angekündigt und erklärt, geschädigte Kunden, die zur Überweisung an die Angreifer verleitet wurden, freiwillig zu entschädigen. Zusätzlich wird ein neues Support-Zentrum in den USA aufgebaut, um die Abhängigkeit von Drittanbietern im Ausland zu reduzieren.
Trotz der Abwehrhaltung in der akuten Krise steht Coinbase unter regulatorischem Druck. Die SEC untersucht derzeit, ob frühere Angaben zur Zahl verifizierter Nutzer irreführend waren – ein Thema, das laut Chief Legal Officer Paul Grewal bereits vor über zwei Jahren öffentlich gemacht wurde und aus der Amtszeit der vorherigen Behördenleitung stammt.
Während Coinbase bislang als vergleichsweise sicherer Hafen unter den Kryptobörsen galt, zeigt der aktuelle Vorfall die Anfälligkeit selbst etablierter Marktakteure für gezielte Social-Engineering-Angriffe – und stellt die Frage, ob technologische Resilienz ohne organisatorische Kontrolltiefe tatsächlich genügt.
