Coinbase-oplichter gelinkt aan $300M aan gemelde verliezen stuurt ETH naar Tornado Cash
Belangrijkste punten
- •On-chain onderzoeker VAL meldde dat de bedreigingsactor ongeveer $500,000 omzette in Ether en naar Tornado Cash stuurde, na een vergelijkbare overdracht van $2 million via de mixer drie weken eerder.
- •ZachXBT rapporteerde eerder cumulatieve verliezen van meer dan $300 miljoen die verband hielden met diefstallen van meerdere Coinbase-accounts binnen dezelfde campagne.
- •De diefstallen werden uitgevoerd via social engineering, waarbij oplichters zich voordeden als Coinbase-klantenservice om inloggegevens te verkrijgen of slachtoffers aan te zetten tot het overdragen van activa, in plaats van blockchain- of smart-contractkwetsbaarheden te misbruiken.
- •VAL identificeerde twee wallets die betrokken waren bij de nieuwste transacties met verkorte adressen 0x5Da2…89D8a en 0x3ECe…f296, en er zouden nog steeds tientallen miljoenen dollars in wallets van de aanvaller zitten.
- •De bedreigingsactor stuurde eerder transacties met spottende berichten naar de wallet van ZachXBT, terwijl Coinbase waarschuwde dat vertegenwoordigers nooit om wachtwoorden, tweefactorauthenticatiecodes of overdracht van activa vragen.
Een bedreigingsactor die in verband wordt gebracht met meer dan $300 miljoen aan gemelde diefstallen van Coinbase-gebruikers heeft opnieuw fondsen verplaatst. On-chain onderzoeker VAL zei dat ongeveer $500,000 werd omgezet in Ether en in de nieuwste transactie naar Tornado Cash werd gestuurd.
Onderzoekers schrijven de bredere verliezen toe aan social engineering tegen individuele rekeninghouders. Zij hebben de campagne niet beschreven als een smart-contract-exploit.
‼️Threat actor who stole $300M+ from Coinbase users is moving funds again Around $500k was converted to ETH yesterday and sent to Tornado Cash Another $2M was converted to $ETH 3 weeks ago and sent the same way All of it was stolen through social engineering scams from… pic.twitter.com/jC8dz97iL4 — VAL (@osint_based) August 17, 2026
‼️Threat actor who stole $300M+ from Coinbase users is moving funds again Around $500k was converted to ETH yesterday and sent to Tornado Cash Another $2M was converted to $ETH 3 weeks ago and sent the same way All of it was stolen through social engineering scams from… pic.twitter.com/jC8dz97iL4
Hoe oplichters Coinbase-gebruikers benaderden
De oplichters deden zich voor als medewerkers van Coinbase-klantenondersteuning. Zij namen contact op met gebruikers en probeerden via misleiding controle over hun activa te krijgen.
Slachtoffers gaven in sommige gevallen accountgegevens prijs aan de imposters. In andere gevallen verstuurden slachtoffers cryptocurrency of keurden zij kwaadaardige transacties goed op basis van valse instructies.
In beide gevallen richtten deze methoden zich op rekeninghouders en niet op kwetsbaarheden in de blockchain zelf. Dit soort impersonatie-oplichting is een al lang bestaand probleem in de sector, en Amerikaanse instanties waaronder de FBI en de Federal Trade Commission hebben herhaaldelijk gewaarschuwd dat fraudeurs die zich voordoen als klantenservice- of servicedeskmedewerkers tot de meest gemelde crypto-fraudetactieken behoren.
Eerder had on-chain onderzoeker ZachXBT cumulatieve verliezen van meer dan $300 miljoen gerapporteerd. Die verliezen hielden verband met diefstallen van meerdere Coinbase-accounts die bij de operatie betrokken waren.
Naar verluidt worden nog steeds tientallen miljoenen dollars aangehouden in de wallets die aan de bedreigingsactor toebehoren. Het VAL-rapport bevatte niet het totale saldo van alle gekoppelde wallets.
Laatste overdrachten volgen dezelfde route
VAL meldde dat de huidige operatie begon met de omzetting van bijna $500,000 in ETH, dat vervolgens naar Tornado Cash werd gestuurd.
Drie weken eerder werd ongeveer $2 million via dezelfde route geleid. Ook dat bedrag werd eerst omgezet in ETH voordat het naar Tornado Cash werd verplaatst. De transacties laten zien dat de operator meerdere overdrachten gebruikte in plaats van één enkele verplaatsing.
Stortingen en opnames in Tornado Cash worden via smart contracts gescheiden, waardoor het volgen van geldstromen op de Ethereum-blockchain moeilijker wordt. Het protocol verwijdert eerdere blockchaintransacties niet, en geld kan nog steeds worden getraceerd totdat het de stortingscontracten van Tornado Cash bereikt.
De mixer zelf stond over die functie in het middelpunt van juridische geschillen. Het Office of Foreign Assets Control van het Amerikaanse ministerie van Financiën sanctioneerde Tornado Cash in augustus 2022, met als reden het gebruik ervan door de Noord-Koreaanse Lazarus Group om gestolen crypto wit te wassen, en trok de sancties in maart 2025 in nadat een Amerikaans hof van beroep oordeelde dat de onveranderlijke smart contracts van het protocol geen "property" zijn waarop sancties kunnen worden toegepast.
In het huidige rapport noteerde VAL twee wallets die bij de transactie betrokken waren. De verkorte adressen van die wallets waren “0x5Da2…89D8a” en “0x3ECe…f296.”
Actor bespot ZachXBT terwijl Coinbase gebruikers waarschuwt
Van deze bedreigingsactor was al bekend dat hij transacties naar de wallet van ZachXBT stuurde. Naar verluidt bevatten die transacties aangepaste berichten die de onderzoeker tijdens zijn tracking bespotten.
De berichten bespotten de inspanningen van ZachXBT en VAL in hun onderzoek. Er werd geen identiteit van de aanvaller of locatie van de resterende fondsen genoemd.
ZachXBT volgde het totale verlies, terwijl VAL de laatste twee transacties rapporteerde. Beide onderzoekers koppelden de activiteit aan dezelfde gemelde campagne. Vertegenwoordigers van Coinbase vragen klanten nooit naar hun wachtwoorden, tweefactorauthenticatiecodes of om activa over te dragen.
