ANÁLISIS
Coinbase: empleados del soporte sobornados y 307 millones de costes
En mayo de 2025 Coinbase comunicó que personal de soporte de un proveedor externo, pagado por delincuentes, había copiado los datos de decenas de miles de clientes, con una petición de 20 millones de dólares rechazada y 307 millones de costes. El análisis: infidelidad en el proveedor, reembolsos voluntarios, D&O y preguntas para las renovaciones.
Archivo: reconstrucción escrita en noviembre de 2026
Tema del mes de mayo de 2025 · por cybercoverinsurance
El 14 de mayo de 2025 Coinbase, una de las mayores plataformas de criptomonedas estadounidenses, comunicó a la SEC que empleados del soporte al cliente, pagados por delincuentes, habían copiado datos de clientes de los sistemas internos. El 11 de mayo había llegado una petición de 20 millones de dólares para no publicarlos. Coinbase no pagó, ofreció una recompensa del mismo importe por información sobre los autores y estimó costes de entre 180 y 400 millones de dólares, para el saneamiento y para reembolsar a los clientes estafados con esos datos.
No hubo intrusión técnica ni robo de fondos de las cuentas. El daño pasó por el personal de soporte de un proveedor externo, y después por los clientes, engañados por estafadores que conocían sus datos. Para quien asume el riesgo cyber y crime, el caso toca tres puntos: la infidelidad de quien trabaja para un proveedor, los reembolsos voluntarios a los clientes y la gestión de la comunicación al mercado.
Lo que se sabe
La comunicación. En el formulario 8-K Coinbase escribe que un atacante pagó a colaboradores o empleados del soporte, que trabajaban fuera de Estados Unidos, para recopilar datos de los sistemas internos. La monitorización de seguridad había detectado los accesos en los meses anteriores, y el personal implicado había sido despedido. Entre los datos: nombre, dirección, teléfono, correo electrónico, últimas cuatro cifras del número de la Seguridad Social, datos bancarios enmascarados, imágenes de documentos de identidad, saldos y movimientos, y algunos documentos internos. Contraseñas, claves privadas y fondos de los clientes no se vieron afectados. Los costes preliminares se estimaban entre unos 180 y 400 millones de dólares, por saneamiento y reembolsos voluntarios a los clientes que habían enviado fondos a los atacantes (Coinbase, formulario 8-K).
El rescate y la recompensa. La petición era de 20 millones de dólares. Coinbase la rechazó y ofreció 20 millones por información que llevara a la detención y condena de los autores. Los datos afectaban a menos del 1% de los usuarios activos mensuales. La acción cayó más de un 7% (The Register).
El proveedor. Según Reuters, citada por CryptoSlate, el personal trabajaba para TaskUs, empresa texana de servicios externalizados, en su centro de Indore, en India. Coinbase habría sido avisada ya en enero de 2025, cuando un empleado fue sorprendido fotografiando datos. Una comunicación al fiscal general de Maine indica 69.461 clientes afectados. Coinbase terminó después su relación con TaskUs. Llegaron una acción colectiva por fraude bursátil contra Coinbase y una demanda por negligencia contra TaskUs (CryptoSlate).
La cuenta. En los resultados del segundo trimestre de 2025 Coinbase indicó 307 millones de dólares de costes vinculados al incidente (The Block). En diciembre de 2025 el CEO Brian Armstrong anunció la detención en Hyderabad, India, de un antiguo empleado del soporte. TaskUs declaró que dos de sus empleados habían sido captados por una campaña criminal que había afectado también a otros proveedores de Coinbase (The Block).
Lo que no se sabe. No es público si se recuperó algo de los 307 millones de aseguradoras o del proveedor, ni cuánto. Las fechas de inicio de los accesos y del primer descubrimiento proceden de fuentes periodísticas y de las demandas, no del formulario 8-K.
El infiel trabaja para el proveedor
El riesgo interno también es externo. El personal no era de Coinbase sino de un proveedor. Para el asegurado el daño es el mismo, pero para la póliza la diferencia cuenta. Las garantías de infidelidad de empleados en las pólizas crime suelen cubrir a los empleados del asegurado y, solo si se prevé, al personal de terceros bajo su dirección.
El soporte ve demasiado. El personal de soporte de primer nivel podía ver imágenes de documentos, saldos y movimientos. Para un servicio financiero, es una exposición amplia concedida a personal externo en otro país. Es el punto que compraron los delincuentes.
La monitorización funcionó, la contención no. Coinbase detectó los accesos y despidió al personal antes de la petición de rescate (formulario 8-K). Pero los datos ya habían salido. Para quien asume el riesgo, detectar no basta: cuenta cuánto dato puede salir antes de la detección.
El reembolso voluntario
El cliente estafado no es un daño a terceros en sentido estricto. Los clientes perdieron fondos porque estafadores, con sus datos, se presentaron de forma creíble. Coinbase eligió reembolsarles. La póliza cyber suele cubrir la responsabilidad frente a terceros establecida o reclamada, y muchas excluyen los pagos voluntarios sin el consentimiento del asegurador.
El reembolso protege la marca y reduce las demandas. Para una plataforma que vive de la confianza de los clientes, el reembolso es una decisión comercial racional. Pero es una partida que puede quedar fuera de la cobertura, salvo que la póliza prevea costes de protección de la reputación o reembolsos acordados con el asegurador.
La recompensa no es un rescate, pero no está cubierta. Los 20 millones ofrecidos por información sobre los autores son una decisión de gestión de crisis. Las garantías de extorsión cubren, cuando se prevé, el pago al extorsionador y los asesores, no una recompensa.
De la violación al D&O
La fecha de descubrimiento se convierte en una cuestión legal. La acción colectiva por fraude bursátil sostiene que Coinbase retrasó la comunicación (CryptoSlate). La cuestión es el momento en que un incidente pasa a ser relevante para los inversores, según las normas de la SEC sobre comunicación en cuatro días hábiles.
El siniestro cyber genera un siniestro D&O. Las demandas de los accionistas se dirigen a la sociedad y a sus directivos, y entran en las pólizas D&O. Para quien asegura ambas líneas de la misma sociedad, un incidente cyber es un evento con dos siniestros correlacionados.
Qué llevar a las renovaciones
Impacto para las aseguradorasAlto
Personal de soporte de un proveedor externo, pagado por delincuentes, copió los datos de decenas de miles de clientes, con 307 millones de dólares de costes entre saneamiento y reembolsos voluntarios.
En el lado de la cartera, muchos servicios financieros y plataformas externalizan el soporte al cliente en los mismos grandes proveedores. Las campañas de soborno de empleados pueden afectar a varios clientes del mismo proveedor, como TaskUs indicó para Coinbase. Saber quién presta el soporte a los asegurados es el primer paso para estimar el cúmulo.