Coinbase dément toute fuite de données. Dans un message publié sur son compte de support officiel sur X, horodaté de 02 h 49 UTC le mercredi 28 octobre (mardi soir, tard, à New York), la plateforme explique qu’un incident de sécurité chez Amplitude, un prestataire d’analyse qu’elle utilise, a exposé les coordonnées d’un petit groupe de ses clients. Coinbase affirme n’avoir trouvé aucune trace d’un accès à ses propres systèmes et assure que les fonds des clients n’ont pas été touchés. Elle ne dit ni combien de personnes sont concernées, ni quelles coordonnées ont fuité, ni quand l’incident a eu lieu, selon CoinDesk, qui a relayé le message peu après 03 h 00 UTC.
La nuance compte pour Coinbase, qui a passé une bonne partie de 2025 à gérer un vol de données commis de l’intérieur. Elle compte beaucoup moins pour un client dont l’adresse e-mail ou le numéro de téléphone est désormais entre d’autres mains. Une liste de personnes dont on sait qu’elles ont un compte Coinbase, c’est la matière première des faux messages de « sécurité Coinbase », et les pages d’aide de la plateforme décrivent elles-mêmes très précisément le fonctionnement de ces arnaques.
Ce que Coinbase a déclaré sur l’incident Amplitude
La déclaration est courte. « Coinbase n’a pas subi de fuite de données », a écrit le compte de support, d’après Cryptonews, qui cite le message. L’incident, précise Coinbase, est né chez Amplitude et a aussi touché d’autres clients du prestataire, pas seulement elle. CoinDesk indique que les données concernent un « petit sous-ensemble » de coordonnées de clients et que Coinbase écrit par e-mail aux personnes touchées.
La plateforme ajoute qu’elle prévient les clients concernés et les autorités de régulation conformément à ses obligations légales. Elle ne nomme ni les autorités, ni les pays.
Amplitude est un service d’analyse de produit : les entreprises lui envoient la trace de la façon dont les gens utilisent leurs applications et leurs sites, afin d’étudier les inscriptions, les clics et les abandons. Ces outils reçoivent souvent un identifiant par utilisateur, parfois une adresse e-mail. Coinbase n’a pas dit ce qu’elle transmettait à Amplitude, ni pourquoi des coordonnées se trouvaient dans les systèmes du prestataire.
Ce qui a fuité, et ce que Coinbase et Amplitude n’ont pas dit
Au 28 octobre vers 06 h 30 UTC, ce que l’on sait de façon établie tient en deux lignes : des coordonnées, un petit sous-ensemble de clients. Tout le reste est ouvert.
- Le nombre de clients Coinbase touchés. Coinbase n’a donné aucun chiffre, et CoinDesk précise qu’elle n’en a pas communiqué. Les chiffres qui circulent sur des sites plus modestes ne sont confirmés ni par Coinbase ni par Amplitude, et nous ne les reprenons pas.
- Les champs. Les « coordonnées » peuvent désigner des adresses e-mail, des numéros de téléphone, des noms, ou un mélange. Coinbase ne l’a pas précisé.
- Les dates. Aucune des deux entreprises n’a dit quand l’incident chez Amplitude a commencé, quand blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il a été découvert ni combien de temps il a duré.
- Les clients concernés. Rien de ce qui a été publié n’indique si des clients de l’Union européenne ou du Royaume-Uni sont inclus, ou seulement des comptes américains.
- La version d’Amplitude. Amplitude, cotée au Nasdaq sous le code AMPL, n’avait rien publié sur l’incident lors de notre vérification, le matin du 28 octobre : aucun article sur son blog, aucun avis sur son centre de confiance public, aucun dépôt auprès de la SEC depuis un 8-K du 15 octobre portant sur un changement parmi ses dirigeants. L’article de CoinDesk ne comporte aucun commentaire de l’entreprise.
Ni mots de passe, ni clés privées, ni fonds n’ont été signalés comme compromis, note CoinDesk. Des coordonnées seules ne permettent pas de vider un compte. Elles permettent en revanche à un fraudeur de savoir qui appeler et quelle marque imiter.
Pourquoi une liste de clients Coinbase intéresse les escrocs
La plateforme l’a déjà expliqué avec ses propres mots. En révélant le vol de données commis de l’intérieur en 2025, elle écrivait sur son blog que le but des criminels était « de constituer une liste de clients qu’ils pourraient contacter en se faisant passer pour Coinbase ». Cet article, daté du 15 mai 2025, décrit une méthode qui n’exige aucun piratage de la victime : un appel ou un message à l’allure officielle, un récit de compte compromis, puis la demande de déplacer ses fonds vers un endroit « sûr ».
Une liste de contacts qui fuit rend ces appels moins coûteux. L’escroc n’a plus à deviner qui détient des cryptos, ni sur quelle plateforme. C’est pourquoi le risque de phishing survit à l’incident lui-même, même si aucun compte n’est touché. Le schéma s’est déjà vu il y a deux jours, quand des e-mails de phishing ont atteint des détenteurs de portefeuilles Passport par une configuration de messagerie compromise, et mardi avec un script de chat de support piégé qui remplaçait les adresses de dépôt.
La fuite Coinbase de mai 2025 : un autre cas, et un cas plus lourd
Beaucoup de clients penseront d’abord à mai 2025. À l’époque, les données avaient été prises à l’intérieur de Coinbase. Selon le formulaire 8-K déposé auprès de la SEC (rapport daté du 14 mai 2025), un inconnu a écrit à Coinbase le 11 mai 2025 en affirmant détenir des données clients et en exigeant de l’argent pour ne pas les publier. Coinbase a refusé.
Le blog chiffrait la demande : « Plutôt que de payer la rançon de 20 millions de dollars, nous créons un fonds de récompense de 20 millions de dollars », destiné à aider à l’arrestation et à la condamnation des responsables. Les données avaient été copiées par un petit groupe d’agents de support basés à l’étranger et soudoyés ; Coinbase dit les avoir licenciés. Le blog situait le groupe touché à moins de 1 % des utilisateurs actifs mensuels de Coinbase.
| Vol interne de mai 2025 | Incident Amplitude d’octobre 2026 | |
|---|---|---|
| Où cela s’est produit | Dans les outils de support client de Coinbase, via des agents étrangers soudoyés | Chez Amplitude, un prestataire d’analyse tiers |
| Données concernées | Nom, adresse, téléphone, e-mail, 4 derniers chiffres du numéro de sécurité sociale américain (SSN), coordonnées bancaires masquées, images de pièces d’identité, soldes et historique des transactions | « Coordonnées », champs non précisés |
| Clients touchés | Moins de 1 % des utilisateurs actifs mensuels (blog de Coinbase) | « Un petit sous-ensemble », aucun chiffre |
| Extorsion | 20 millions de dollars exigés, refusés ; fonds de récompense de 20 millions de dollars | Aucune signalée |
| Estimation du coût | Environ 180 à 400 millions de dollars (8-K) | Aucune estimation |
| Mots de passe, clés, fonds | Non compromis (8-K) | Non compromis, selon Coinbase |
Le 8-K chiffrait le coût de la remédiation et des remboursements volontaires à environ 180 à 400 millions de dollars, une fourchette préliminaire. Coinbase avait aussi annoncé en 2025 qu’elle rembourserait, après examen, les clients particuliers piégés et amenés à envoyer des fonds aux escrocs comme conséquence directe de cet incident. Elle n’a fait aucune déclaration comparable pour le cas Amplitude, et aucune perte n’a été signalée à ce stade.
Au vu des informations disponibles, l’exposition de 2026 paraît plus étroite : des coordonnées plutôt que des pièces d’identité et des soldes. C’est une lecture des propos de l’entreprise, pas un périmètre confirmé, et elle pourrait changer une fois le nombre et les champs publiés.
Comment reconnaître un faux message Coinbase après la fuite Amplitude
Que votre adresse figure ou non dans les données d’Amplitude, le conseil est le même, et il vient du centre d’aide de Coinbase, pas de nous. Sa page consacrée aux arnaques au faux support technique et à l’usurpation d’identité indique que personne ne vous demandera jamais votre mot de passe, vos codes de double authentification, « ni de transférer des actifs vers une adresse, un compte, un coffre ou un portefeuille précis ou nouveau ».
La même page énumère ce que les agents du service client de Coinbase ne feront jamais :
- vous demander de sécuriser, de déplacer ou d’ouvrir l’accès à vos fonds ;
- vous donner une phrase de récupération de portefeuille ou vous demander la vôtre ;
- vous réclamer votre mot de passe ou votre code de vérification en deux étapes ;
- vous demander d’installer un logiciel sur votre appareil, ou d’en prendre le contrôle à distance pour agir sur votre compte.
Si cela arrive, Coinbase invite ses clients à raccrocher et à écrire à [email protected]. Elle avertit aussi que les escrocs peuvent usurper de vrais numéros de téléphone sur les appels sortants : un numéro familier affiché à l’écran ne prouve rien.
Vérifier un e-mail qui prétend venir de Coinbase
Un vrai avis sur l’incident Amplitude peut très bien arriver, puisque Coinbase dit contacter les clients touchés. La page de Coinbase sur ses adresses e-mail conseille de ne pas se fier au nom affiché, ni même à l’adresse de l’expéditeur seule, car l’un comme l’autre peuvent être falsifiés. Elle liste les domaines d’où partent les vrais messages : coinbase.com, mail.coinbase.com, updates.coinbase.com, info.coinbase.com et cb.mail.coinbase.com.
Le réflexe le plus sûr est celui que recommande la page : ne cliquez sur aucun lien du message. Ouvrez l’application Coinbase, ou tapez vous-même coinbase.com dans un nouvel onglet, et regardez si quelque chose est à faire. Les signes typiques d’un faux, toujours selon cette page, sont un numéro de dossier inventé, une alerte d’activité suspecte destinée à vous presser, et un lien vers un « portail sécurisé ».
Les réglages que recommande Coinbase
Deux réglages de la liste de Coinbase méritent un coup d’œil maintenant que des numéros de téléphone figurent peut-être parmi les données exposées. Le premier est une authentification à deux facteurs solide : « Les clés matérielles sont les meilleures », indique la page d’aide, ce qui écarte aussi le code par SMS si un fraudeur tente de détourner votre numéro. Le second est la liste blanche de retraits, qui limite les transferts sur la blockchain aux portefeuilles que vous connaissez déjà et en lesquels vous avez confiance.
Si quelque chose vous paraît louche, le conseil de Coinbase est de verrouiller d’abord le compte, dans l’application, et de poser les questions ensuite. Quant à la phrase de récupération, elle ne doit en aucun cas quitter vos mains : notre guide pour garder sa phrase de récupération en sécurité explique pourquoi aucun vrai agent de support n’en a besoin.
Clients européens : le RGPD, la CNIL et la règle des 72 heures
Pour les lecteurs de l’Union européenne, le RGPD fixe le cadre. L’article 33 impose au responsable du traitement, c’est-à-dire l’entreprise qui décide des finalités et des moyens d’utilisation des données, de notifier l’autorité de protection des données sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si la violation est peu susceptible d’engendrer un risque pour les droits et libertés des personnes. L’article 34 y ajoute l’obligation d’informer les personnes concernées, là encore sans retard injustifié, lorsque la violation est susceptible d’engendrer un risque élevé pour elles. Le paragraphe 2 de l’article 33 vise les prestataires : un sous-traitant, qui traite les données pour le compte d’un client comme le font en général les services d’analyse, doit alerter ce client dans les meilleurs délais après avoir pris connaissance d’une violation.
En France, l’autorité compétente pour recevoir ces notifications est la CNIL, la Commission nationale de l’informatique et des libertés ; c’est un rappel du cadre général, et rien n’indique à ce stade qu’elle ait été saisie dans cette affaire. Coinbase sert ses clients européens par son entité irlandaise, qui a écopé d’une amende de 3,25 millions d’euros de la Banque centrale d’Irlande la semaine dernière pour une affaire distincte de fonds clients. On ignore si des clients de l’UE ou du Royaume-Uni figurent dans les données d’Amplitude. Le message de Coinbase parle d’« autorités de régulation » sans en nommer aucune, et aucune autorité européenne n’avait réagi à la rédaction de cet article.
Ce qu’il faut surveiller ensuite
Le chiffre manquant vient en premier : combien de clients Coinbase figurent dans les données, et dans quels pays. Vient ensuite le récit d’Amplitude sur ce qui s’est passé et sur les autres clients touchés, qui n’était pas paru au moment de la publication. Troisième point à suivre : Coinbase, société cotée, déposera-t-elle quelque chose auprès de la SEC au sujet de l’incident, comme elle l’avait fait en quelques jours en mai 2025 ?
Pour les clients, l’essentiel pratique ne dépend d’aucun de ces éléments. Les plateformes détiennent vos coordonnées du seul fait de l’ouverture du compte, et, on le voit, les prestataires avec lesquels elles travaillent peuvent les détenir aussi ; notre explication du fonctionnement des plateformes d’échange centralisées détaille ce qu’une plateforme conserve sur vous. Un message qui vous demande de déplacer vos fonds, de dicter un code ou de livrer une phrase de récupération est une arnaque, quel que soit le nom qu’il porte.