Coinbase a déclaré mardi dans un communiqué tardif qu'un incident de sécurité survenu chez le fournisseur d'analytique Amplitude avait compromis les données de contact d'une « petite partie » de ses clients, tout en niant toute violation de ses propres systèmes. L'entreprise a ajouté que d'autres clients d'Amplitude avaient également été touchés.

Cet épisode met en lumière un point faible récurrent pour les entreprises du secteur crypto : les données clients partagées avec des outils tiers peuvent être exposées même lorsque les systèmes d'une entreprise ne présentent aucun signe d'intrusion.

« Coinbase n'a pas subi de violation de données », a écrit le compte d'assistance de la plateforme dans une publication sur X. La publication a décrit l'épisode comme un incident de sécurité chez Amplitude, un fournisseur d'analytique, qui a « touché une petite partie des données de contact des clients de Coinbase, parmi d'autres clients d'Amplitude ».

Coinbase a indiqué n'avoir constaté aucun signe d'accès non autorisé à ses systèmes et que les fonds des clients n'ont pas été touchés. L'entreprise informe les clients concernés ainsi que les autorités de régulation, conformément à la loi. Elle n'a pas révélé combien d'utilisateurs ont été affectés, quels champs de données ont été exposés ni quand l'incident Amplitude s'est produit — des détails qui restent en attente tandis que le processus de notification se poursuit.

Un dirigeant de SlowMist affirme que plus de 70 000 utilisateurs ont été touchés

Environ 30 minutes avant la publication du communiqué de Coinbase, 23pds, directeur de la sécurité informatique de la société de sécurité blockchain SlowMist, a écrit sur X que la violation était confirmée et que des pirates avaient obtenu les coordonnées de plus de 70 000 utilisateurs. La même publication indiquait qu'il n'était pas immédiatement établi si des mots de passe ou des fonds avaient été dérobés.

Coinbase n'a pas confirmé le chiffre de 70 000, se contentant de réaffirmer qu'une « petite partie » de ses clients était concernée. La plateforme ne proposant aucun décompte indépendant, l'écart entre les deux versions restait non résolu au moment de la publication.

Les listes de clients divulguées offrent aux escrocs une cible de phishing toute prête

L'exposition des coordonnées laisse les mots de passe, les clés et les fonds intacts, mais ces données sont une aubaine pour le phishing et l'ingénierie sociale. Pour les utilisateurs de Coinbase, cette inquiétude s'appuie sur des précédents : leurs coordonnées ont déjà fait surface lors d'incidents antérieurs et alimenté des escroqueries par usurpation d'identité.

Un problème similaire a touché le fabricant de portefeuilles matériels SafePal en août 2026, lorsqu'une vulnérabilité de contrôle d'accès a exposé les données de commande d'environ 39 798 clients. SafePal a averti — comme l'a rapporté Cryptopolitan — que des escrocs peuvent utiliser les détails dérobés pour passer de faux appels au support, proposer de faux remboursements, envoyer de fausses demandes de mise à jour logicielle et diffuser des liens vers des sites de phishing clonés.

Les clients de Coinbase ont déjà été confrontés à des menaces comparables. En mai 2025, la plateforme avait révélé une violation au cours de laquelle des criminels avaient soudoyé des agents du support basés à l'étranger pour obtenir des données personnelles d'une partie des utilisateurs. Coinbase avait indiqué que les criminels prévoyaient de se faire passer pour la plateforme afin d'amener des personnes à envoyer des cryptomonnaies. L'entreprise avait provisionné entre 180 et 400 millions de dollars pour remédier à l'incident et indemniser les clients, et avait offert une récompense de 20 millions de dollars pour toute information menant à des arrestations.

L'enquêteur on-chain ZachXBT estimait en février 2025 que ces escroqueries coûtaient environ 300 millions de dollars par an, affirmant que les utilisateurs de Coinbase avaient perdu plus de 65 millions de dollars à cause d'elles en deux mois.

En mars 2026, le même dirigeant de SlowMist, 23pds, avait critiqué une page officielle de Coinbase Commerce demandant aux utilisateurs de saisir leurs phrases de récupération, qualifiant d'« extrêmement stupide » le fait de demander aux utilisateurs d'envoyer une phrase mnémonique pour vérifier leurs actifs.