ANALYSES
Coinbase : des agents du support corrompus et 307 millions de coûts
En mai 2025, Coinbase a annoncé que du personnel de support d'un prestataire externe, payé par des criminels, avait copié les données de dizaines de milliers de clients, avec une demande de 20 millions de dollars refusée et 307 millions de coûts. L'analyse : infidélité chez le prestataire, remboursements volontaires, D&O et questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois de mai 2025 · par cybercoverinsurance
Le 14 mai 2025, Coinbase, l'une des plus grandes plateformes de cryptomonnaies américaines, a informé la SEC que des agents du support client, payés par des criminels, avaient copié des données clients depuis les systèmes internes. Le 11 mai était arrivée une demande de 20 millions de dollars pour ne pas les publier. Coinbase n'a pas payé, a offert une récompense du même montant pour des informations sur les auteurs et a estimé les coûts entre 180 et 400 millions de dollars, pour la remédiation et pour rembourser les clients escroqués avec ces données.
Il n'y a eu ni intrusion technique ni vol de fonds sur les comptes. Le dommage est passé par le personnel du support d'un prestataire externe, puis par les clients, trompés par des escrocs qui connaissaient leurs données. Pour qui porte le risque cyber et fraude, le cas touche trois points : l'infidélité de personnes travaillant pour un prestataire, les remboursements volontaires aux clients et la gestion de l'information du marché.
Ce que l'on sait
La déclaration. Dans le formulaire 8-K, Coinbase écrit qu'un attaquant a payé des prestataires ou des salariés du support, travaillant hors des États-Unis, pour collecter des données dans les systèmes internes. La surveillance de sécurité avait détecté les accès au cours des mois précédents, et le personnel impliqué avait été licencié. Parmi les données : nom, adresse, téléphone, adresse électronique, quatre derniers chiffres du numéro de sécurité sociale, coordonnées bancaires masquées, images de pièces d'identité, soldes et historique des transactions, et quelques documents internes. Mots de passe, clés privées et fonds des clients n'ont pas été touchés. Les coûts préliminaires étaient estimés entre environ 180 et 400 millions de dollars, pour la remédiation et les remboursements volontaires aux clients ayant envoyé des fonds aux attaquants (Coinbase, formulaire 8-K).
La rançon et la récompense. La demande était de 20 millions de dollars. Coinbase l'a refusée et a offert 20 millions pour des informations menant à l'arrestation et à la condamnation des auteurs. Les données concernaient moins de 1 % des utilisateurs actifs mensuels. L'action a perdu plus de 7 % (The Register).
Le prestataire. Selon Reuters, cité par CryptoSlate, le personnel travaillait pour TaskUs, société texane de services externalisés, dans son centre d'Indore, en Inde. Coinbase aurait été alertée dès janvier 2025, lorsqu'un agent a été surpris en train de photographier des données. Une déclaration au procureur général du Maine fait état de 69 461 clients concernés. Coinbase a ensuite mis fin à sa relation avec TaskUs. Ont suivi une action collective pour fraude boursière contre Coinbase et une action pour négligence contre TaskUs (CryptoSlate).
L'addition. Dans ses résultats du deuxième trimestre 2025, Coinbase a fait état de 307 millions de dollars de coûts liés à l'incident (The Block). En décembre 2025, le PDG Brian Armstrong a annoncé l'arrestation à Hyderabad, en Inde, d'un ancien agent du support. TaskUs a déclaré que deux de ses salariés avaient été recrutés par une campagne criminelle qui avait aussi touché d'autres prestataires de Coinbase (The Block).
Ce que l'on ne sait pas. On ignore si une partie des 307 millions a été récupérée auprès d'assureurs ou du prestataire, et combien. Les dates du premier accès et de la première découverte proviennent de la presse et des actions en justice, pas du formulaire 8-K.
L'infidèle travaille pour le prestataire
Le risque interne est aussi externe. Le personnel n'appartenait pas à Coinbase mais à un prestataire. Pour l'assuré, le dommage est le même, mais pour la police la différence compte. Les garanties infidélité des salariés des polices fraude couvrent souvent les salariés de l'assuré et, seulement si c'est prévu, le personnel de tiers placé sous sa direction.
Le support voit trop. Le support de premier niveau pouvait voir des images de pièces d'identité, des soldes et des transactions. Pour un service financier, c'est une exposition large accordée à du personnel externe dans un autre pays. C'est le point que les criminels ont acheté.
La surveillance a fonctionné, le confinement non. Coinbase a détecté les accès et licencié le personnel avant la demande de rançon (formulaire 8-K). Mais les données étaient déjà sorties. Pour qui porte le risque, détecter ne suffit pas : ce qui compte, c'est la quantité de données qui peut sortir avant la détection.
Le remboursement volontaire
Le client escroqué n'est pas un dommage aux tiers au sens strict. Des clients ont perdu des fonds parce que des escrocs, munis de leurs données, se sont présentés de façon crédible. Coinbase a choisi de les rembourser. Les polices cyber couvrent généralement la responsabilité envers les tiers établie ou réclamée, et beaucoup excluent les paiements volontaires faits sans l'accord de l'assureur.
Le remboursement protège la marque et réduit les contentieux. Pour une plateforme qui vit de la confiance de ses clients, le remboursement est un choix commercial rationnel. Mais c'est un poste qui peut rester hors garantie, sauf si la police prévoit des frais de protection de la réputation ou des remboursements convenus avec l'assureur.
La récompense n'est pas une rançon, mais elle n'est pas couverte. Les 20 millions offerts pour des informations sur les auteurs relèvent de la gestion de crise. Les garanties extorsion couvrent, lorsqu'elles sont prévues, le paiement à l'extorqueur et les conseils, pas une prime de dénonciation.
De la violation au D&O
La date de découverte devient une question juridique. L'action collective pour fraude boursière soutient que Coinbase a tardé à communiquer (CryptoSlate). La question porte sur le moment où un incident devient significatif pour les investisseurs, selon les règles de la SEC sur la communication sous quatre jours ouvrés.
Le sinistre cyber engendre un sinistre D&O. Les actions des actionnaires visent la société et ses dirigeants, et relèvent des polices D&O. Pour un assureur couvrant les deux branches pour la même société, un incident cyber est un événement avec deux sinistres corrélés.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursÉlevé
Du personnel de support d'un prestataire externe, payé par des criminels, a copié les données de dizaines de milliers de clients, avec 307 millions de dollars de coûts entre remédiation et remboursements volontaires.
Côté portefeuille, de nombreux services financiers et plateformes externalisent le support client auprès des mêmes grands prestataires. Les campagnes de corruption d'agents peuvent toucher plusieurs clients d'un même prestataire, comme TaskUs l'a indiqué pour Coinbase. Savoir qui assure le support des assurés est la première étape pour estimer le cumul.