L’exchange sudcoreano Coinone ha comunicato domenica 15 novembre 2026 che un aggressore è entrato nei server di MetaM, l’azienda esterna che gestisce la sua assistenza clienti, e ha visualizzato o copiato le registrazioni delle conversazioni con i clienti. La violazione dei dati di Coinone può riguardare nomi, numeri di telefono, numeri di conto bancario, password e numeri di documento d’identità nazionale, a seconda di ciò che ogni persona ha detto all’assistenza. Sono coinvolti soltanto i clienti che in passato hanno contattato l’help desk via chat o telefono, secondo l’avviso pubblicato da Coinone sul proprio sito. L’exchange non ha detto di quante persone si tratti.
Coinone afferma che gli account dei membri, blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il trading e i wallet crypto sono separati dai server del fornitore e che non è stata confermata alcuna intrusione diretta. Non è stata segnalata alcuna perdita di crypto. Il rischio che indica la stessa Coinone è un altro: truffatori che conoscono ciò che un cliente aveva chiesto all’assistenza e lo usano per spacciarsi per l’exchange.
L’episodio è il terzo allarme su dati o sicurezza in un exchange coreano in meno di tre settimane, dopo Bithumb il 27 ottobre e Gopax il 6 novembre, e arriva mentre le autorità di Seul stanno ancora rivedendo le regole dopo l’attacco a Binance.
Come si è svolto l’attacco al fornitore di assistenza di Coinone
L’aggressore è entrato nei server del fornitore intorno alle 04:00 di giovedì 12 novembre, ora coreana (le 19:00 UTC dell’11 novembre), secondo l’avviso, che indica l’appaltatore come MetaM Co., Ltd. Coinone ha saputo dell’accaduto da MetaM alle 09:20 della stessa mattina. L’avviso è stato pubblicato alle 08:00 di domenica 15 novembre, tre giorni dopo.
Tempi esatti e metodo dell’attacco sono ancora in esame insieme al fornitore e a specialisti esterni, scrive Coinone, che promette aggiornamenti.
Cosa è stato esposto nella violazione dei dati di Coinone e cosa no
I file contenevano ciò che i clienti hanno scritto o detto durante le sessioni di assistenza. L’avviso elenca le informazioni che potrebbero esserci:
- nome, numero di telefono, indirizzo email e data di nascita;
- numero di conto bancario e password;
- numero di registrazione di residenza (il numero di identità nazionale della Corea) e data di rilascio della carta d’identità;
- indirizzo di casa, indirizzo del wallet crypto e ID di transazione (TXID).
Non tutti i clienti hanno fornito tutti questi dati. Le informazioni cambiano da persona a persona e Coinone dice che permetterà più avanti ai clienti di verificare cosa risultava a loro nome. Chi ha chiesto un semplice chiarimento su un deposito può aver lasciato un nome e un TXID; chi aveva bisogno di aiuto con le verifiche d’identità può aver lasciato molto di più.
Le password sono la voce che colpisce di più. Il personale dell’assistenza non dovrebbe averne bisogno, eppure l’avviso invita chi ha comunicato una password durante una consulenza a cambiarla. Non è chiaro se il fornitore conservasse le password nei propri archivi o se compaiano solo nei log delle chat.
Cosa non è stato toccato, secondo Coinone: gli account dei membri, i sistemi di trading e i wallet crypto. L’exchange aggiunge che ogni accesso richiede un secondo fattore, un OTP registrato o una conferma KakaoTalk su un telefono intestato al cliente, che gli accessi da app non ufficiali sono bloccati e che i soli dati trapelati non bastano per accedere o prelevare. È una valutazione della società; non è stato pubblicato alcun audit esterno.
Cosa ha fatto Coinone e cosa consiglia ai clienti
L’exchange dice di aver bloccato l’indirizzo IP dell’aggressore e i percorsi di accesso al proprio centro clienti, di aver rafforzato il monitoraggio in tempo reale di accessi e operazioni anomali e di star verificando direttamente i controlli di sicurezza di MetaM. L’assistenza clienti funziona ora solo via email.
Ha segnalato la violazione alla Korea Internet & Security Agency (KISA), alla Personal Information Protection Commission (PIPC) e alla Financial Supervisory Service (FSS) e afferma di collaborare con le loro verifiche.
I consigli ai clienti:
- Se hai comunicato la password all’assistenza, cambiala su Coinone e su ogni altro sito in cui usavi la stessa.
- L’exchange non chiede mai per telefono, SMS o email una password, un OTP o un codice di verifica, e non chiede mai a un cliente di fare un prelievo o di cambiare un indirizzo di wallet, dice l’avviso.
- Diffida di qualsiasi chiamata o messaggio che citi la tua precedente storia con l’assistenza e non aprire link o allegati di mittenti sconosciuti.
- Segnala ogni accesso, ordine o prelievo che non riconosci e controlla la rubrica degli indirizzi di prelievo nell’app o sul sito; puoi anche bloccare l’account.
Il secondo punto è il più importante. Chi ti chiama conoscendo la tua banca, il tuo numero di documento e la data in cui hai chiesto di un bonifico bloccato suona molto simile al vero exchange. I dati trapelati si trasformano spesso in furto proprio così, con il ladro che convince il cliente ad agire invece di forzare la piattaforma. La nostra guida per riconoscere le truffe crypto e sapere dove denunciarle descrive i copioni più comuni.
Risarcimento: fino a 3 milioni di won di danni legali
Coinone non ha annunciato alcun programma di risarcimento. L’avviso elenca invece i rimedi che la legge coreana offre ai clienti i cui dati vengono diffusi.
In base alla legge sulla protezione delle informazioni personali (articolo 39) e alla legge sulle informazioni creditizie (articolo 43), un cliente può chiedere un risarcimento e spetta alla società dimostrare di non avere colpa. Se la fuga di dati deriva da dolo o colpa grave, un tribunale può riconoscere fino a cinque volte il danno effettivo. Quando il danno è difficile da quantificare, il cliente può invece chiedere danni legali fino a 3 milioni di won, ai sensi dell’articolo 39-2 della prima legge e dell’articolo 43-2 della seconda, senza dover provare l’importo perso né la colpa della società.
L’avviso indica anche tre contatti pubblici: il Personal Information Dispute Mediation Committee (1833-6972), il Personal Information Infringement Report Center gestito dalla KISA (118) e la FSS (1332). Le segnalazioni di danno vanno inviate per email al team operativo del servizio clienti di Coinone.
La serie di incidenti negli exchange coreani da fine ottobre
Coinone è il terzo exchange della Corea per volumi, molto distante dai primi due. Nel quarto trimestre del 2025 ha movimentato circa 8,7 miliardi di dollari, il 3,1% dei cinque principali exchange coreani, contro il 65,0% di Upbit e il 31,1% di Bithumb, secondo dati CoinGecko riportati da Digital Today.
L’avviso segue una serie di incidenti. Il 27 ottobre Bithumb ha scoperto un estraneo nel sistema mobile che i dipendenti usano per lavorare e ha segnalato una fuga di dati personali a KISA e PIPC (i dettagli in la violazione del sistema dei dipendenti di Bithumb). Il 6 novembre Gopax ha sospeso trading e prelievi dopo un’email di un gruppo che sosteneva di averla violata, senza perdite segnalate; vedi la sospensione dei prelievi di Gopax.
Tutto questo è arrivato dopo il furto da 6,3 miliardi di dollari a Binance del 29 ottobre, attribuito dall’FBI alla Corea del Nord il 31 ottobre (il nostro resoconto sull’attribuzione dell’FBI). La Financial Services Commission (FSC) ha tenuto una riunione d’emergenza con gli exchange il 2 novembre, secondo quanto riportato dal Korea Times. Un funzionario della FSC ha dichiarato al giornale: «We will continue to strengthen our response framework in close cooperation with relevant agencies», cioè continueremo a rafforzare il nostro quadro di risposta in stretta collaborazione con le agenzie competenti.
Un anno prima, il 27 novembre 2025, Upbit ha perso circa 36 milioni di dollari in asset della rete Solana da un hot wallet, secondo Cointelegraph; la società che la gestisce, Dunamu, ha coperto le perdite.
| Data | Exchange | Cosa è successo | Crypto dei clienti perse |
|---|---|---|---|
| 27 nov 2025 | Upbit | Attacco a un hot wallet, asset della rete Solana | Circa 36 milioni di dollari, coperti da Dunamu |
| 27 ott 2026 | Bithumb | Estraneo nel sistema di lavoro dei dipendenti, segnalata una fuga di dati | Nessuna segnalata |
| 6 nov 2026 | Gopax | Trading e prelievi sospesi dopo un’email con minaccia di attacco | Nessuna segnalata |
| 12 nov 2026 | Coinone | Violato il fornitore di assistenza MetaM, registri delle consulenze esposti | Nessuna segnalata |
Le prossime mosse dei regolatori su prelievi e fornitori
Le regole si muovono nello stesso momento. In base alla Virtual Asset User Protection Act, gli exchange coreani non possono bloccare a piacere depositi o prelievi, ma solo per motivi fissati da un decreto presidenziale, e devono tenere l’80% dei fondi dei clienti in cold storage, secondo il Korea Times. Dopo l’attacco a Binance, il settore ha chiesto motivi più chiari per sospendere le operazioni quando viene colpita un’altra piattaforma.
Giovedì, giorno dell’intrusione in Coinone, l’autorità ha detto che consentirà agli exchange di sospendere i prelievi in caso di sospetto attacco e ha chiesto un monitoraggio continuo, secondo Cointelegraph, che riferisce anche che la FSC ha trovato debolezze di sicurezza in 130 delle 555 società finanziarie esaminate a ottobre.
Il caso Coinone indica una lacuna che queste misure non coprono. Sospendere i prelievi protegge le monete; non fa nulla per i dati custoditi da un appaltatore. Qui il punto debole era un appaltatore, e verificare come un’azienda controlla le società che trattano i dati dei suoi clienti spetta alla PIPC.
Cosa significa per i lettori fuori dalla Corea
Coinone serve residenti coreani e nulla di pubblico collega questo episodio all’Europa o agli Stati Uniti. L’esternalizzazione dell’help desk, però, è comune ovunque. Nell’UE i fornitori autorizzati MiCA devono gestire il rischio di esternalizzazione, il regolamento DORA disciplina dal gennaio 2025 il modo in cui sorvegliano i fornitori ICT, e una violazione di dati personali va notificata ai sensi del GDPR all’autorità nazionale, la CNIL in Francia o il Garante in Italia. Il nostro approfondimento su come gli exchange centralizzati gestiscono KYC e custodia spiega quali dati conserva una piattaforma.
Domande aperte e cosa seguire
Mancano ancora diversi elementi. Coinone non ha indicato quanti clienti avessero i dati nei file di MetaM, né il periodo che quei dati coprono. Non si sa nemmeno se siano coinvolti altri clienti di MetaM, se ce ne sono, né se dal 12 novembre qualche cliente abbia segnalato una chiamata o un trasferimento fraudolento.
I prossimi appuntamenti sono la verifica individuale promessa da Coinone, i risultati dell’indagine con specialisti esterni e ogni eventuale iniziativa della PIPC o della FSS. L’assistenza, per ora, resta solo via email.