ANALISI
Coinbase: addetti del supporto corrotti e 307 milioni di costi
A maggio 2025 Coinbase ha comunicato che addetti del supporto di un fornitore esterno, pagati da criminali, avevano copiato i dati di decine di migliaia di clienti, con una richiesta di 20 milioni di dollari respinta e 307 milioni di costi. L'analisi: infedeltà presso il fornitore, rimborsi volontari, D&O e domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di maggio 2025 · di cybercoverinsurance
Il 14 maggio 2025 Coinbase, una delle maggiori piattaforme di criptovalute statunitensi, ha comunicato alla SEC che addetti del supporto clienti, pagati da criminali, avevano copiato dati dei clienti dai sistemi interni. L'11 maggio era arrivata una richiesta di 20 milioni di dollari per non pubblicarli. Coinbase non ha pagato, ha offerto una ricompensa di pari importo per informazioni sugli autori e ha stimato costi tra 180 e 400 milioni di dollari, per la bonifica e per rimborsare i clienti truffati con quei dati.
Non c'è stata intrusione tecnica né furto di fondi dai conti. Il danno è passato dalle persone del supporto, da un fornitore esterno, e poi dai clienti, ingannati da truffatori che conoscevano i loro dati. Per chi assume il rischio cyber e crime, il caso tocca tre punti: l'infedeltà di chi lavora per un fornitore, i rimborsi volontari ai clienti e la gestione della comunicazione al mercato.
Cosa si sa
La comunicazione. Nel modulo 8-K Coinbase scrive che un attaccante ha pagato collaboratori o dipendenti del supporto, che lavoravano fuori dagli Stati Uniti, per raccogliere dati dai sistemi interni. Il monitoraggio di sicurezza aveva rilevato gli accessi nei mesi precedenti, e il personale coinvolto era stato licenziato. Tra i dati: nome, indirizzo, telefono, email, ultime quattro cifre del numero di previdenza sociale, coordinate bancarie mascherate, immagini di documenti d'identità, saldi e movimenti, e alcuni documenti interni. Password, chiavi private e fondi dei clienti non sono stati toccati. I costi preliminari erano stimati tra circa 180 e 400 milioni di dollari, per bonifica e rimborsi volontari ai clienti che avevano inviato fondi agli attaccanti (Coinbase, modulo 8-K).
Il riscatto e la ricompensa. La richiesta era di 20 milioni di dollari. Coinbase ha rifiutato e ha offerto 20 milioni per informazioni utili all'arresto e alla condanna degli autori. I dati riguardavano meno dell'1% degli utenti attivi mensili. Il titolo ha perso più del 7% (The Register).
Il fornitore. Secondo Reuters, ripresa da CryptoSlate, gli addetti lavoravano per TaskUs, società texana di servizi in outsourcing, nel centro di Indore in India. Coinbase sarebbe stata avvisata già a gennaio 2025, quando un addetto è stato sorpreso a fotografare dati. Una comunicazione al procuratore generale del Maine indica 69.461 clienti coinvolti. Coinbase ha poi chiuso il rapporto con TaskUs. Sono arrivate un'azione collettiva per frode sui titoli contro Coinbase e una per negligenza contro TaskUs (CryptoSlate).
Il conto. Nei risultati del secondo trimestre 2025 Coinbase ha indicato 307 milioni di dollari di costi legati all'incidente (The Block). A dicembre 2025 il CEO Brian Armstrong ha annunciato l'arresto in India, a Hyderabad, di un ex addetto del supporto. TaskUs ha dichiarato che due suoi dipendenti erano stati reclutati da una campagna criminale che aveva colpito anche altri fornitori di Coinbase (The Block).
Cosa non è noto. Non è pubblico se e quanto dei 307 milioni sia stato recuperato da assicurazioni o dal fornitore. Le date di inizio degli accessi e di prima scoperta vengono da fonti giornalistiche e dalle cause, non dal modulo 8-K.
L'infedele lavora per il fornitore
Il rischio interno è anche esterno. Gli addetti non erano dipendenti di Coinbase ma di un fornitore. Per l'assicurato il danno è lo stesso, ma per la polizza la differenza conta. Le garanzie per infedeltà dei dipendenti nelle polizze crime spesso coprono i dipendenti dell'assicurato e, solo se previsto, il personale di terzi sotto la sua direzione.
Il supporto vede troppo. Addetti del supporto di primo livello potevano vedere immagini dei documenti, saldi e movimenti. Per un servizio finanziario, è un'esposizione ampia concessa a personale esterno, in un altro paese. È il punto che i criminali hanno comprato.
Il monitoraggio ha funzionato, la chiusura no. Coinbase ha rilevato gli accessi e licenziato gli addetti prima della richiesta di riscatto (modulo 8-K). Ma i dati erano già usciti. Per chi assume il rischio, rilevare non basta: conta quanto dato può uscire prima del rilevamento.
Il rimborso volontario
Il cliente truffato non è un danno di terzi in senso stretto. I clienti hanno perso fondi perché truffatori, con i loro dati, si sono presentati in modo credibile. Coinbase ha scelto di rimborsarli. La polizza cyber copre di norma la responsabilità verso terzi accertata o reclamata, e molte escludono i pagamenti volontari senza il consenso dell'assicuratore.
Il rimborso protegge il marchio e riduce le cause. Per una piattaforma che vive della fiducia dei clienti, il rimborso è una scelta commerciale razionale. Ma è una voce che può restare fuori dalla copertura, a meno che la polizza non preveda costi per la tutela della reputazione o rimborsi concordati con l'assicuratore.
La ricompensa non è un riscatto, ma non è coperta. I 20 milioni offerti per informazioni sugli autori sono una scelta di gestione della crisi. Le garanzie per estorsione coprono, quando previsto, il pagamento all'estorsore e i consulenti, non una taglia.
Dalla violazione al D&O
La data di scoperta diventa una questione legale. L'azione collettiva per frode sui titoli sostiene che Coinbase abbia ritardato la comunicazione (CryptoSlate). Il tema è il momento in cui un incidente diventa rilevante per gli investitori, secondo le regole della SEC sulla comunicazione entro quattro giorni lavorativi.
Il sinistro cyber genera un sinistro D&O. Le cause degli azionisti si rivolgono alla società e ai vertici, e rientrano nelle polizze D&O. Per chi assicura entrambe le linee per la stessa società, un incidente cyber è un evento con due sinistri correlati.
Cosa portare ai rinnovi
Impatto per gli assicuratoriAlto
Addetti del supporto di un fornitore esterno, pagati da criminali, hanno copiato i dati di decine di migliaia di clienti, con 307 milioni di dollari di costi tra bonifica e rimborsi volontari.
Sul fronte del portafoglio, molti servizi finanziari e piattaforme affidano il supporto clienti agli stessi grandi fornitori in outsourcing. Le campagne di corruzione degli addetti possono colpire più clienti dello stesso fornitore, come TaskUs ha indicato per Coinbase. Sapere chi fornisce il supporto agli assicurati è il primo passo per stimare il cumulo.