Coinbase数据泄露事件追踪：外包客服员工窃取上万客户资料单张售价达200美元

作者：Ben Weiss，《财富》
编译：Yuliya，PANews

今年5月，美国最大加密货币交易所Coinbase披露了一起严重的黑客攻击事件。数千名客户的个人数据被窃取，并被用于诱骗受害者交出加密资产。据Coinbase估计，此次事件可能导致高达4亿美元的损失。官方声明指出，此次攻击源自印度一家外包公司的内部人员，但涉案人员的具体信息一直未公开。最新法院文件揭示了其中一名嫌疑人身份及其在事件中的角色，这也是Coinbase历史上最严重的一次安全漏洞。

根据集体诉讼律所Greenbaum Olbrantz本周二提交的修正诉状，此次黑客事件与TaskUs公司员工Ashita Mishra有关。TaskUs是一家总部位于德州的上市公司，主要为大型科技公司提供外包客服支持，其业务遍布低成本劳动力市场。Mishra就职于TaskUs位于印度印多尔的服务中心。

诉讼称，自2024年9月起，Mishra开始窃取机密客户数据，包括社会安全号码和银行账户信息。她将这些信息出售给黑客，后者冒充Coinbase员工，诱导受害者转移加密资产。

从2024年9月至2025年1月，Mishra与另一名同伙招募更多TaskUs员工参与窃取客户信息，形成一个“复杂的辐射式阴谋网络”，通过TaskUs电脑向犯罪分子输送Coinbase客户数据。诉状援引一名前TaskUs员工的说法称，甚至团队主管和运营经理也参与其中。

当TaskUs最终发现问题时，Mishra的手机中已存储超过1万名Coinbase客户的数据。诉状指出，Mishra及其同伙每张照片可获得200美元报酬，有时一天拍摄多达200张Coinbase客户账户的照片。Coinbase在监管文件中披露，最终受影响的客户人数超过6.9万人。

据《财富》此前报道，此次泄密背后的主谋似乎是一些十几岁或二十出头的年轻人，他们隶属于一个名为“the Comm”的松散黑客组织。

值得注意的是，关于数据盗窃始于2024年9月的指控意义重大，因为Coinbase此前表示攻击发生在12月下旬。

此外，TaskUs本月声称，除外部供应商外，Coinbase内部员工也涉及此次黑客事件，但未提供更多细节。

事件曝光后，Coinbase发言人向《财富》表示：“我们立即通知了受影响用户和监管机构，补偿了受影响客户，加强了对供应商和内部人员的管控，并终止了与TaskUs的合作关系。我们拒绝向犯罪分子支付赎金，而是设立了2000万美元的奖励，用于征集能导致嫌犯被捕和定罪的信息。”

对于修正诉状，TaskUs尚未作出回应。《财富》也未能立即找到Ashita Mishra的联系方式。

TaskUs此前曾对《财富》表示：“公司将客户及其用户数据的安全视为最高优先事项，并会持续加强全球安全协议与培训项目。”

掩盖行为引发质疑

诉状描绘的故事，是迄今为止对今年最大加密货币黑客事件之一、也是Coinbase十余年来最严重漏洞的最详细记录。

尽管其他原告律师已就此次黑客事件起诉Coinbase，但该公司一直试图将这些诉讼纳入仲裁程序。仲裁历来帮助企业减轻财务损失和负面舆论，这或许也解释了为什么该集体诉讼律所选择起诉外包方TaskUs，而非直接起诉Coinbase。

在诉状中，律所指控TaskUs采取措施让知情者保持沉默。据《财富》此前报道，今年1月，TaskUs在印多尔解雇了226名员工。诉状援引一名前员工的说法称，公司采取这一极端举措是因为密谋团体“已全面渗透到TaskUs系统中，以至于公司无法识别所有涉案人员”。

此外，在2月10日，TaskUs决定解雇原本负责调查泄密事件的人力资源团队。诉状称，这种做法是一种“一系列的掩盖行为”。

Greenbaum Olbrantz此次提交的新法院文件是对5月最初诉状的修正版。当时Coinbase刚披露黑客事件约两周。该律所此前曾发起多起高调诉讼，包括指控航空公司出售“靠窗座位”，却实际将乘客安排在没有窗户的墙边。

Coinbase方面则试图将这起诉讼纳入针对该交易所所有黑客相关案件的合并诉讼中。而TaskUs则提出动议，要求驳回这起诉讼，并阻止其被纳入更大范围的合并诉讼。

Greenbaum Olbrantz联合创始人Carter Greenbaum在一份声明中表示：“我们的修正诉状前所未有地揭示了此次数据泄露事件是如何发生的，我们将继续努力追究所有相关责任方的法律责任。”

原文链接