Coinbase nega una violazione dei dati. In un post sul proprio account ufficiale di supporto su X, pubblicato alle 02:49 UTC di mercoledì 28 ottobre (a New York era tarda sera di martedì), l’exchange ha spiegato che un incidente di sicurezza presso Amplitude, società di analisi di cui si serve, ha esposto i recapiti di un piccolo gruppo di clienti Coinbase. Secondo Coinbase non c’è traccia di accessi ai suoi sistemi e i fondi dei clienti non sono stati toccati. Non ha detto quante persone siano coinvolte, quali recapiti siano usciti né quando sia avvenuto l’incidente, secondo CoinDesk, che ha riportato blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il post poco dopo le 03:00 UTC.
La distinzione conta per Coinbase, che ha passato buona parte del 2025 a fare i conti con un furto di dati commesso dall’interno. Conta molto meno per il cliente il cui indirizzo e-mail o numero di telefono è ora in mano a qualcun altro. Un elenco di persone che si sa possiedano un conto Coinbase è la materia prima dei falsi messaggi di “sicurezza Coinbase”, e le pagine di assistenza della stessa società descrivono con precisione come funzionano queste truffe.
Cosa ha detto Coinbase sull’incidente di Amplitude
Il comunicato è breve. “Coinbase non ha subito una violazione dei dati”, ha scritto l’account di supporto, stando a Cryptonews, che ha citato il post. L’incidente, ha spiegato Coinbase, è nato presso Amplitude e ha colpito anche altri clienti di Amplitude, non solo Coinbase. CoinDesk riferisce che i dati riguardano le informazioni di contatto di un “piccolo sottoinsieme” di clienti e che Coinbase sta scrivendo via e-mail alle persone interessate.
L’exchange aggiunge di stare avvisando i clienti coinvolti e le autorità di regolamentazione, come previsto dagli obblighi di legge. Non ha indicato né le autorità né i paesi.
Amplitude è un servizio di analisi di prodotto: le aziende gli inviano i dati su come le persone usano app e siti, per studiare iscrizioni, clic e abbandoni. Questi strumenti ricevono spesso un identificativo per ogni utente e, a volte, un indirizzo e-mail. L’exchange non ha chiarito che cosa avesse condiviso con Amplitude né perché dei recapiti si trovassero nei sistemi del fornitore.
Cosa è uscito, e cosa Coinbase e Amplitude non hanno detto
Alle 06:30 UTC circa del 28 ottobre, i fatti noti stanno in due righe: dati di contatto, un piccolo sottoinsieme di clienti. Tutto il resto è aperto.
- Il numero di clienti Coinbase coinvolti. Coinbase non ha fornito cifre e CoinDesk precisa che non le ha rese note. Le cifre che circolano su siti minori non sono confermate né da Coinbase né da Amplitude, e non le riprendiamo.
- I campi. Per “dati di contatto” si possono intendere indirizzi e-mail, numeri di telefono, nomi o un misto. Coinbase non lo ha specificato.
- Le date. Nessuna delle due società ha detto quando sia iniziato l’incidente di Amplitude, quando sia stato scoperto o quanto sia durato.
- Quali clienti. Nulla di quanto pubblicato dice se nei dati ci siano clienti dell’Unione europea o del Regno Unito, oppure solo conti statunitensi.
- La versione di Amplitude. Amplitude, quotata al Nasdaq con il simbolo AMPL, non aveva pubblicato nulla sull’incidente quando abbiamo controllato la mattina del 28 ottobre: nessun post sul blog, nessun avviso nel suo centro pubblico sulla sicurezza e nessun documento depositato alla SEC dopo un modulo 8-K del 15 ottobre su un cambio tra i dirigenti. L’articolo di CoinDesk non riporta alcun commento dell’azienda.
Nessuna password, chiave privata o somma di denaro risulta compromessa, nota CoinDesk. I soli dati di contatto non bastano a spostare fondi da un conto. Possono però dire a un truffatore chi chiamare e quale marchio impersonare.
Perché un elenco di clienti Coinbase fa gola ai truffatori
L’exchange lo ha già spiegato con parole sue. Quando ha reso nota la sottrazione di dati del 2025 da parte di personale interno, ha scritto sul blog che l’obiettivo dei criminali era “raccogliere un elenco di clienti da contattare fingendosi Coinbase”. Quel post, datato 15 maggio 2025, descrive un metodo che non richiede alcun attacco informatico alla vittima: una telefonata o un messaggio dal tono ufficiale, un racconto su un conto compromesso e la richiesta di spostare i fondi in un posto “sicuro”.
Un elenco di recapiti trapelato rende queste chiamate più economiche. Il truffatore non deve più indovinare chi possiede crypto né su quale piattaforma. Per questo il rischio di phishing sopravvive all’incidente, anche quando nessun conto viene toccato. Uno schema simile lo abbiamo visto due giorni fa, quando e-mail di phishing sono arrivate ai possessori di wallet Passport attraverso un sistema di posta compromesso, e martedì con uno script manomesso della chat di assistenza che sostituiva gli indirizzi di deposito.
La violazione di Coinbase del maggio 2025: un altro caso, e più grave
Molti clienti penseranno prima di tutto al maggio 2025. Allora i dati furono sottratti dall’interno di Coinbase. Secondo il modulo 8-K depositato alla SEC (rapporto datato 14 maggio 2025), un soggetto sconosciuto scrisse a Coinbase l’11 maggio 2025 sostenendo di avere dati dei clienti e chiedendo denaro per non pubblicarli. Coinbase rifiutò.
Il blog diede una cifra alla richiesta: “Invece di pagare il riscatto da 20 milioni di dollari, istituiamo un fondo premi da 20 milioni di dollari”, denaro destinato a portare all’arresto e alla condanna dei responsabili. I dati erano stati copiati da un piccolo gruppo di addetti all’assistenza all’estero, che erano stati corrotti; Coinbase disse di averli licenziati. Il blog collocava il gruppo di persone coinvolte sotto l’1% degli utenti attivi mensili che effettuano transazioni su Coinbase.
| Furto interno del maggio 2025 | Incidente Amplitude dell’ottobre 2026 | |
|---|---|---|
| Dove è avvenuto | Negli strumenti di assistenza clienti di Coinbase, tramite addetti all’estero corrotti | Presso Amplitude, fornitore terzo di servizi di analisi |
| Dati interessati | Nome, indirizzo, telefono, e-mail, ultime 4 cifre del codice fiscale statunitense (SSN), estremi bancari oscurati, immagini di documenti d’identità, saldi e storico delle transazioni | “Dati di contatto”, campi non specificati |
| Clienti coinvolti | Meno dell’1% degli utenti attivi mensili che effettuano transazioni (blog di Coinbase) | “Un piccolo sottoinsieme”, nessun numero |
| Estorsione | Richiesti 20 milioni di dollari, rifiutati; fondo premi da 20 milioni di dollari | Nessuna segnalata |
| Stima dei costi | Da circa 180 a 400 milioni di dollari (8-K) | Nessuna indicata |
| Password, chiavi, fondi | Non compromessi (8-K) | Non compromessi, secondo Coinbase |
L’8-K stimava in circa 180-400 milioni di dollari il costo di bonifica e rimborsi volontari, un intervallo preliminare. Coinbase disse inoltre nel 2025 che, dopo verifica, avrebbe rimborsato i clienti retail indotti a inviare fondi ai truffatori come conseguenza diretta di quell’incidente. Per il caso Amplitude non ha fatto alcuna dichiarazione analoga, e per ora non risultano perdite da risarcire.
Sulla base delle informazioni disponibili, l’esposizione del 2026 appare più limitata: recapiti, non documenti d’identità e saldi. È una lettura delle parole della società, non un perimetro confermato, e potrebbe cambiare quando verranno pubblicati il numero e i campi.
Come riconoscere un falso messaggio di Coinbase dopo la fuga di Amplitude
Che il tuo indirizzo fosse o no nei dati di Amplitude, il consiglio è lo stesso, e viene dal centro assistenza di Coinbase, non da noi. La sua pagina sulle truffe di falso supporto tecnico e di impersonificazione dice che nessuno ti chiederà mai la password, i codici 2FA, “né di trasferire asset verso un indirizzo, conto, vault o wallet specifico o nuovo”.
La stessa pagina elenca ciò che gli operatori dell’assistenza Coinbase non faranno mai:
- chiederti di mettere al sicuro, spostare o accedere ai tuoi fondi;
- darti una seed phrase di un wallet o chiederti la tua;
- chiederti la password o il codice della verifica in due passaggi;
- chiederti di installare software sul dispositivo o di prenderne il controllo da remoto per operare sul tuo conto.
Se accade una qualsiasi di queste cose, Coinbase invita a chiudere la chiamata e a scrivere a [email protected]. Avverte anche che i truffatori possono falsificare i numeri di telefono veri nelle chiamate in uscita, quindi un numero familiare sullo schermo non prova nulla.
Verificare un’e-mail che dice di arrivare da Coinbase
Un vero avviso sull’incidente di Amplitude potrebbe arrivare davvero, dato che Coinbase dice di contattare i clienti coinvolti. La pagina sugli indirizzi e-mail di Coinbase raccomanda di non fidarsi del nome visualizzato e nemmeno del solo indirizzo del mittente, perché entrambi si possono falsificare. Elenca i domini da cui provengono i messaggi autentici: coinbase.com, mail.coinbase.com, updates.coinbase.com, info.coinbase.com e cb.mail.coinbase.com.
L’abitudine più sicura è quella che la pagina consiglia: non cliccare i link nel messaggio. Apri l’app di Coinbase, oppure digita coinbase.com in una nuova scheda, e controlla se c’è qualcosa da fare. Secondo la stessa pagina, i segnali tipici di un falso sono un numero di pratica inventato, un allarme su attività sospette pensato per metterti fretta e un link a un “portale sicuro”.
Le impostazioni consigliate da Coinbase
Due impostazioni dell’elenco di Coinbase meritano un controllo ora che i numeri di telefono potrebbero essere tra i dati usciti. La prima è un’autenticazione a due fattori robusta: “Le chiavi hardware sono la scelta migliore”, dice la pagina di assistenza, e questo tiene fuori anche il codice via SMS nel caso un truffatore tenti di prendere il controllo del tuo numero. La seconda è la lista di prelievo consentita, che limita i trasferimenti on-chain ai wallet che già conosci e di cui ti fidi.
Se qualcosa non torna, il consiglio di Coinbase è di bloccare prima il conto, dall’app, e di fare domande dopo. Una seed phrase, in ogni caso, non deve mai uscire dalle tue mani: la nostra guida su come custodire una frase di recupero spiega perché nessun vero addetto all’assistenza ne ha bisogno.
Clienti europei e italiani: la regola delle 72 ore
Per i lettori dell’UE il quadro è dato dal GDPR, il Regolamento UE 2016/679. L’articolo 33 impone al titolare del trattamento, cioè la società che decide perché e come i dati sono usati, di notificare la violazione all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. L’articolo 34 aggiunge l’obbligo di informare gli interessati, sempre senza ingiustificato ritardo, quando la violazione può comportare un rischio elevato per loro. Il paragrafo 2 dell’articolo 33 riguarda i fornitori: il responsabile del trattamento, che tratta i dati per conto di un cliente come di norma fanno i servizi di analisi, deve avvisare il titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione.
In Italia l’autorità di controllo prevista dal GDPR è il Garante per la protezione dei dati personali, a cui i titolari notificano le violazioni che rientrano nella sua competenza; è un dato generale sul regime e non significa che sia stato avvisato in questo caso. Coinbase serve i clienti europei attraverso la società irlandese, che la settimana scorsa è stata multata per 3,25 milioni di euro dalla Banca centrale d’Irlanda per una questione distinta sulla custodia del denaro dei clienti. Non si sa se nei dati di Amplitude ci siano clienti dell’UE o del Regno Unito, né italiani. Il post di Coinbase parla di “autorità di regolamentazione” senza nominarne una, e nessuna autorità europea aveva commentato quando questo articolo è stato scritto.
Cosa tenere d’occhio ora
Prima di tutto il numero che manca: quanti clienti Coinbase sono nei dati e in quali paesi. Poi il resoconto di Amplitude su cosa è successo e su quali altri clienti sono stati colpiti, che al momento della pubblicazione non era comparso. Un terzo punto è se Coinbase, società quotata, depositerà alla SEC qualcosa sull’incidente, come fece nel giro di pochi giorni nel maggio 2025.
Per i clienti, l’indicazione pratica non dipende da nulla di tutto questo. Gli exchange conservano i tuoi recapiti come parte del conto e, a quanto pare, possono farlo anche i fornitori con cui lavorano; il nostro approfondimento su come funzionano gli exchange centralizzati spiega che cosa una piattaforma conserva di te. Un messaggio che ti chiede di spostare fondi, leggere un codice o consegnare una frase di recupero è una truffa, qualunque nome porti.