Coinbase đang đối mặt với áp lực pháp lý ngày càng gia tăng sau khi tiết lộ rằng một vi phạm dữ liệu do hối lộ đã làm lộ thông tin cá nhân của người dùng. Trong vòng 48 giờ sau khi sàn giao dịch tiết lộ vi phạm này và một âm mưu tống tiền trị giá 20 triệu đô la liên quan, ít nhất sáu vụ kiện liên bang đã được đệ trình, với nguyên đơn cáo buộc công ty về sơ suất, kiểm soát nội bộ kém và xử lý sai lệch hậu quả của vi phạm.
Các hành động pháp lý, được đệ trình tại tòa án liên bang New York và California từ ngày 15-16 tháng 5, cho rằng có sự gãy đổ trong trách nhiệm bảo vệ dữ liệu cơ bản và phản ứng chậm chạp, rời rạc từ sàn giao dịch, vốn đã bị giám sát bởi Ủy ban Chứng khoán và Giao dịch Hoa Kỳ (SEC).
Các vụ kiện chỉ ra rằng có những thất bại hệ thống cho phép các đối tượng đe dọa hối lộ nhân viên hỗ trợ khách hàng để truy cập trái phép vào hệ thống nội bộ của Coinbase. Nguyên đơn cho rằng vụ việc này phản ánh những điểm yếu rộng lớn hơn trong cơ sở hạ tầng bảo mật của nền tảng - có thể không là duy nhất cho Coinbase trong thế giới giao dịch mã hóa tập trung ngày càng rủi ro cao.
Theo các tuyên bố từ Coinbase, vi phạm dữ liệu xảy ra khi các tội phạm mạng đến gặp một số nhân viên hỗ trợ với lời đề nghị hối lộ bằng cách gửi tiền qua Telegram để trao đổi lấy quyền truy cập vào công cụ hành chính nội bộ. Mặc dù Coinbase đã xác nhận việc sa thải các nhân viên hỗ trợ tại Ấn Độ có liên quan đến vi phạm, phạm vi trách nhiệm nội bộ toàn diện vẫn chưa rõ ràng.
Các tin tặc được cho là đã truy cập và chiếm đoạt dữ liệu người dùng bao gồm:
- Tên, email, số điện thoại
- Địa chỉ cư trú
- Bốn chữ số cuối của số an sinh xã hội
- Tài liệu ID như hộ chiếu và bằng lái xe
- Siêu dữ liệu tài khoản, bao gồm số dư và lịch sử giao dịch
Công ty tiết lộ vào ngày 15 tháng 5 rằng họ đã nhận được yêu cầu đòi tiền chuộc 20 triệu đô la chỉ bốn ngày trước đó, cho thấy sự chậm trễ giữa vi phạm ban đầu và công bố công khai. Người dùng và quan sát pháp lý cho rằng khoảng thời gian này càng khiến các cá nhân bị ảnh hưởng gặp nguy hiểm bằng cách trì hoãn các biện pháp phòng ngừa cần thiết như đóng băng tài khoản hoặc bắt đầu theo dõi tín dụng.
Các vụ kiện tập trung vào Sơ suất và Thực hành bảo mật không đầy đủ
Các vụ kiện chống lại Coinbase chia sẻ một đề tài chung: rằng sàn giao dịch thất bại trong việc thực hiện và duy trì các bảo vệ an ninh đủ để bảo vệ dữ liệu khách hàng nhạy cảm.
Một trong những đơn kiện hàng đầu, do Paul Bender đệ trình tại tòa án liên bang New York, cáo buộc rằng Coinbase “đã không thực hiện các biện pháp bảo vệ hợp lý”, gây rủi ro nghiêm trọng và liên tục cho hàng triệu người dùng. Khiếu nại cũng chỉ trích chiến lược giao tiếp của công ty, mô tả nó là “không đầy đủ, rời rạc và chậm trễ”.
Nguyên đơn cho rằng những rủi ro này không chỉ dừng lại ở thiệt hại tài chính. Không giống như các ví bị hack hoặc token bị đánh cắp, tài liệu nhận diện cá nhân - một khi bị lộ ra - không thể được phục hồi hoặc thay đổi. Điều này khiến nạn nhân dễ dàng trở thành mục tiêu của các mối đe dọa lâu dài như đánh cắp danh tính, tấn công lừa đảo và gian lận tài chính.
Một vụ kiện đặc biệt thêm vào cáo buộc “làm giàu không công bằng”, buộc tội Coinbase đã không đầu tư đủ vào bảo mật trong khi hưởng lợi tài chính từ dữ liệu và hoạt động của người dùng.
Một vụ khác, được đệ trình tại California, đi xa hơn bằng cách yêu cầu Coinbase xóa toàn bộ dữ liệu người dùng nhạy cảm trong quyền sở hữu của họ, thực hiện các cuộc kiểm tra độc lập về hệ thống nội bộ của họ, và đại tu các chính sách lưu giữ và truy cập dữ liệu.
Tất cả các vụ kiện tìm kiếm bồi thường tài chính và giải tỏa, dù vẫn chưa rõ quá trình pháp lý sẽ tích tụ hay phức tạp đến mức nào.
Hệ lụy rộng lớn hơn cho Ngành: Rủi ro từ nội gián và tập trung hóa
Vi phạm của Coinbase - và các vụ kiện sau đó - dấy lên những câu hỏi quan trọng về những rủi ro của cơ sở hạ tầng tập trung trong mã hóa. Trong khi tài chính phi tập trung (DeFi) hướng đến việc loại bỏ các trung gian đáng tin cậy, các sàn giao dịch như Coinbase tiếp tục nắm quyền quản lý không chỉ tài sản mã hóa, mà còn toàn bộ dữ liệu nhận diện người dùng cần thiết theo luật Biết Khách Hàng (KYC) và Chống Rửa Tiền (AML).
Kho dữ liệu này khiến các sàn giao dịch tập trung trở thành mục tiêu hấp dẫn cao với các tội phạm mạng. Nhưng trong trường hợp này, vi phạm không phải từ một cuộc khai thác phức tạp của các lỗ hổng phần mềm. Thay vào đó, nó xuất phát từ kỹ thuật xã hội và và sự thao tác nội bộ - một vector đe dọa mà khó phát hiện hoặc ngăn chặn chỉ bằng mã.
Khi số lượng ETF Bitcoin và Ethereum giao ngay tại Hoa Kỳ tăng lên, vai trò tổ chức của Coinbase cũng tăng theo. Công ty hiện đang phục vụ như một người bảo quản cho đa số ETF mã hóa đã được SEC chấp thuận. Tập trung hóa đó còn thêm một tầng rủi ro hệ thống khác.
“Nếu Coinbase không thể giữ cho các hệ thống nội bộ của mình an toàn, toàn bộ cấu trúc ETF xây dựng trên nó sẽ dễ tổn thương,” Eleanor Terret, một nhà báo tài chính theo dõi quy định về tài sản số cho biết.
Giám sát của SEC và hậu quả tài chính
Ngoài các vụ kiện, Coinbase đã tiết lộ với SEC rằng họ dự kiến sẽ phải chịu chi phí từ 180 triệu đến 400 triệu đô la liên quan đến việc bồi thường cho khách hàng và phản ứng vi phạm. Mặc dù công ty từ chối trả tiền chuộc, nhưng đã cam kết bồi thường cho những người dùng bị lừa gửi tiền mã hóa cho kẻ tấn công sử dụng dữ liệu bị đánh cắp.
SEC cũng được cho là đang điều tra các cáo buộc riêng rằng Coinbase đã báo cáo sai lệch các chỉ số người dùng trong báo cáo tài chính năm 2021 của mình, làm phức thêm các thách thức quy định đối với công ty đã được giao dịch công khai.
Vào ngày công bố thông tin về vi phạm dữ liệu, cổ phiếu của Coinbase (COIN) giảm 7%, xuống mức 244 đô la. Tuy nhiên, nó đã tăng trở lại 9% vào ngày hôm sau, cho thấy rằng các nhà đầu tư có thể đang định giá trong kỳ vọng khả năng phục hồi dài hạn - hoặc đơn giản là quen với sự biến động của cổ phiếu liên quan đến mã hóa.
Mô hình an ninh đang được rà soát
Các kiểm soát truy cập nội bộ của Coinbase hiện đang bị soi xét kỹ lưỡng. Các chuyên gia nội bộ trong ngành cho rằng các nhân viên hỗ trợ khách hàng không bao giờ nên có quyền truy cập vào dữ liệu nhận diện gốc ngay từ đầu.
“Không có lý do chính đáng nào để trao quyền truy cập cho nhân viên hỗ trợ vào toàn bộ hồ sơ KYC, đặc biệt là khi không có ghi chép mật mã hoặc phân quyền quyền truy cập,” một cựu nhân viên tuân thủ cho một nền tảng mã hóa được quy định tại Hoa Kỳ cho biết. “Đó chỉ là đang mời gọi rắc rối.”
Kêu gọi thay đổi không chỉ dừng lại ở Coinbase. Trong ngành, các sàn giao dịch đang được khuyến khích:
- Giảm thiểu truy cập nội bộ đến dữ liệu nhạy cảm
- Áp dụng kiểm soát truy cập dựa trên vai trò nghiêm ngặt
- Ghi lại tất cả yêu cầu dữ liệu ở định dạng có thể xác thực mật mã
- Sử dụng bằng chứng không tiết lộ hoặc token mã hóa cho việc xác minh hỗ trợ
- Cung cấp đầy đủ sự minh bạch cho người dùng về việc ai truy cập dữ liệu của họ và khi nào
Những biện pháp này thường tốn kém và phức tạp về mặt hoạt động, nhưng chi phí pháp lý và uy tín ngày càng tăng có thể khiến các sàn giao dịch không còn lựa chọn nào khác.
Người dùng còn lại gặp rủi ro thực tế
Vượt lên trên các trừu tượng pháp lý, người dùng Coinbase bị ảnh hưởng đang phải đối mặt với những nguy hiểm rất thực tế. Các chuyên gia pháp lý cảnh báo rằng dữ liệu bị rò rỉ trong vi phạm - đặc biệt là tài liệu ID và địa chỉ cư trú - có thể được sử dụng để mở các dòng tín dụng gian lận, giả mạo người nhận diện trong các giao dịch tài chính hoặc thậm chí nhắm mục tiêu các cá nhân cho các mối đe dọa vật lý.
Ariel Givner, một luật sư fintech, xác nhận rằng cô đã nhận được tin nhắn từ các khách hàng lo ngại về không chỉ thiệt hại tài chính mà còn vấn đề an toàn cá nhân. Sự kết hợp giữa số dư mã hóa và dữ liệu cá nhân chi tiết tạo thành một vector đe dọa đặc biệt không ổn định.
Vi phạm cũng trùng hợp với những lo ngại ngày càng tăng về bạo lực vật lý trong mã hóa. Đầu năm nay, một vụ việc nổi tiếng tại Paris liên quan đến việc bắt cóc gia đình của một giám đốc điều hành mã hóa đã được cố gắng. Những cuộc tấn công như vậy càng trở nên khả dĩ hơn khi các địa chỉ và chỉ số giàu có được liên kết thông qua dữ liệu bị đánh cắp.
Các sàn giao dịch Tập trung đối mặt với một cuộc khủng hoảng lòng tin
Cuối cùng, vi phạm Coinbase nhấn mạnh mâu thuẫn ngày càng gia tăng trong ngành mã hóa: khi các sàn giao dịch cố gắng mở rộng quy mô và tuân thủ quy định, họ ngày càng trở nên tập trung hơn - và có khả năng dễ tổn thương.
Trong nhiều năm, câu chuyện xung quanh phi tập trung hóa đã tập trung vào blockchain và các giao thức đồng thuận. Nhưng đối với hầu hết người dùng, điểm đầu và cuối với nền kinh tế mã hóa là một sàn giao dịch tập trung. Khi sàn giao dịch đó trở thành một điểm thất bại, toàn bộ hệ sinh thái nằm trong rủi ro.
Các vụ kiện chống lại Coinbase có thể đóng vai trò như một điểm uốn, đẩy các nền tảng cải tổ các thực hành nội bộ của họ, ưu tiên tối thiểu hóa dữ liệu và xem xét các kiến trúc mới cho lưu giữ dữ liệu KYC.
Cho đến lúc đó, người dùng vẫn còn ở trong sự thương cảm của các hệ thống nội bộ mờ ám, các nhân viên hỗ trợ có quyền hạn quá mức và các chính sách dữ liệu tụt hậu so với những công cụ tài chính mà họ hiện đang hỗ trợ.