¿Por qué otra vez un tercero? Análisis de los riesgos de la cadena de suministro de Coinbase y sus dilemas defensivos

Escrito por: Nicky, Foresight News

El 28 de octubre, según DelCrxpto y el director de seguridad de la información de SlowMist, 23pds, Coinbase sufrió una filtración de datos, donde los hackers obtuvieron información de contacto de más de 70,000 usuarios, aunque aún no se ha confirmado si se robaron contraseñas o fondos.

Ese mismo día, Coinbase respondió diciendo que "no hubo filtración de datos". Según su declaración, el proveedor de análisis Amplitude experimentó un incidente de seguridad que afectó algunos datos de contacto de clientes de Coinbase y otros datos de clientes de Amplitude. El equipo no encontró evidencia de acceso no autorizado a los sistemas de Coinbase, y los fondos de los clientes no se vieron afectados; la empresa notificará a los clientes afectados y a las autoridades regulatorias de acuerdo con sus obligaciones legales.

Hasta el momento de la publicación, Amplitude no ha respondido a este incidente.

¿Quién es Amplitude?

Amplitude es una empresa estadounidense que proporciona una plataforma de análisis de productos digitales, con sede en San Francisco y cotiza en Nasdaq bajo el símbolo AMPL. Su negocio consiste en ayudar a las empresas a analizar el comportamiento de los usuarios en la web y en aplicaciones, con funciones que incluyen información en tiempo real, reproducción de sesiones, pruebas A/B y activación de datos, utilizando un modelo de suscripción SaaS.

La empresa se originó en 2011 cuando Spenser Skates y Curtis Liu fundaron Sonalight, inicialmente una aplicación de conversión de voz a texto, que entró en Y Combinator en el invierno de 2012. Debido a la falta de herramientas efectivas de análisis del comportamiento del usuario, ambos construyeron un sistema de análisis interno, y luego en 2014 se trasladaron oficialmente al análisis de productos y lanzaron la marca Amplitude.

El tercer cofundador, Jeffrey Wang, se unió ese mismo año; su experiencia previa en Palantir y Sumo Logic ayudó a la empresa a establecer capacidades de procesamiento de datos a gran escala. Skates es actualmente el CEO, posee una licenciatura en ingeniería biológica del MIT y ha ganado dos veces la competencia de programación MIT Battlecode.

Amplitude se hizo pública directamente en Nasdaq en septiembre de 2021, con ingresos de aproximadamente 343 millones de dólares en el año fiscal 2025, y cuenta con entre 750 y 800 empleados, con clientes que van desde startups hasta empresas de la lista Fortune 100. Es notable que el precio de las acciones de AMPL ha estado en aumento desde los 6.6 dólares a finales de junio, alcanzando un nuevo máximo anual de 17.72 dólares el 23 de octubre.

En relación con este incidente, hasta el 28 de octubre, no se ha visto ninguna declaración oficial o anuncio en la página de estado de Amplitude. Anteriormente, la empresa no había tenido registros públicos de grandes filtraciones de datos en su plataforma. En el incidente de SpotAngels en septiembre de 2026, un tercero utilizó credenciales robadas para acceder a algunos datos almacenados en Amplitude, pero SpotAngels aclaró que no fue la plataforma de Amplitude la que fue comprometida.

Amplitude tiene casos de clientes claros en el ámbito financiero y de criptomonedas. Ramp Network es una plataforma de entrada y salida de criptomonedas que utiliza en profundidad las funciones de análisis, experimentación y reproducción de sesiones de Amplitude, principalmente para análisis de productos y comprensión del viaje del usuario, y no para sistemas de fondos centrales. Xapo Bank es un banco y custodio de Bitcoin que utiliza Amplitude Analytics y Feature Experimentation para optimizar el proceso de apertura de cuentas, sin involucrar sistemas de custodia centrales ni sistemas de claves privadas.

Otros clientes financieros incluyen la empresa de tecnología financiera estadounidense Dave, Salt Bank y algunos corredores de divisas y derivados. Para estos clientes, el riesgo se limita principalmente a los datos de análisis de comportamiento y parte de la información de contacto, y no a transacciones, saldos o claves privadas; la principal amenaza tras una filtración es el phishing, la ingeniería social y el intercambio de SIM, y no el robo directo de criptomonedas.

Coinbase indicó que el incidente afectó los datos de otros clientes de Amplitude, pero actualmente no ha nombrado públicamente a otras empresas específicas; Ramp Network, Xapo y otros tampoco han emitido declaraciones al respecto. Las partes afectadas pueden optar por notificar a los usuarios en privado o aún estar evaluando el alcance del impacto.

Coinbase ha enfrentado incidentes de seguridad más graves en el pasado

Esta no es la primera vez que Coinbase enfrenta problemas de seguridad de datos y cuentas.

El más grave ocurrió en 2025. Según la divulgación oficial, los delincuentes sobornaron a agentes de atención al cliente en el extranjero y copiaron datos del sistema de soporte al cliente, afectando a aproximadamente 69,461 usuarios. La información filtrada incluía nombres, direcciones, teléfonos, correos electrónicos, los últimos cuatro dígitos del número de seguro social, información bancaria enmascarada, imágenes de documentos de identidad gubernamentales, instantáneas de saldos de cuentas e historial de transacciones, pero no incluyó contraseñas ni claves privadas. Los atacantes utilizaron principalmente esta información para hacerse pasar por empleados de Coinbase y engañar a los usuarios para que transfirieran criptomonedas.

Coinbase se negó a pagar un rescate de 20 millones de dólares, optando en su lugar por establecer una recompensa equivalente para la captura y condena de los delincuentes, despidiendo a los empleados involucrados, cortando la colaboración con el proveedor de atención al cliente subcontratado y compensando voluntariamente a los usuarios minoristas que fueron engañados para transferir fondos debido a este incidente. El informe financiero del segundo trimestre de 2025 de la empresa confirmó que los costos relacionados fueron de aproximadamente 307 millones de dólares, incluyendo compensaciones a clientes y costos legales directos.

Un incidente anterior ocurrió entre marzo y mayo de 2021. Los atacantes obtuvieron correos electrónicos, contraseñas y números de teléfono a través de phishing, utilizando una vulnerabilidad en el proceso de recuperación de cuentas de SMS de Coinbase para eludir la verificación en dos pasos, y al menos 6,000 cuentas tuvieron fondos transferidos. Coinbase luego corrigió la vulnerabilidad y reembolsó la totalidad de los fondos robados al valor en el momento del incidente.

El punto en común de ambos incidentes es que las pérdidas directas fueron finalmente asumidas por la plataforma, pero una vez que los datos se filtran, el riesgo de que se utilicen para phishing y ingeniería social puede persistir a largo plazo.

El 28 de octubre, el fundador de Binance, Zhao Changpeng (CZ), publicó en la plataforma X que ese día se reportaron cuatro incidentes de filtración de datos, además de Coinbase y su proveedor de servicios Amplitude, también involucrando a la casa de cambio de criptomonedas surcoreana Bithumb, así como a las instituciones financieras tradicionales surcoreanas Mirae Asset y Daishin Securities.

CZ señaló que la información filtrada de las plataformas de intercambio, como nombres, correos electrónicos, números de teléfono, direcciones, documentos de identificación y registros de transacciones, podría ser utilizada para phishing, secuestro de tarjetas SIM y ataques de ingeniería social. Sus recomendaciones se centraron en el aislamiento de cuentas y métodos de verificación: establecer correos electrónicos y contraseñas de alta seguridad independientes para diferentes plataformas de intercambio, priorizar el uso de claves de seguridad hardware, Passkey o autenticadores, evitar depender de la verificación en dos pasos por SMS, y habilitar listas blancas de direcciones de retiro y códigos anti-phishing. Además, se deben revisar regularmente las sesiones de inicio de sesión de cuentas y los permisos de claves API, y estar alerta ante fraudes que se hacen pasar por atención al cliente.

También advirtió que la información de direcciones y activos podría dar lugar a riesgos de extorsión o robo en la vida real, y los usuarios deben evitar hacer públicas sus situaciones de activos personales.

Además, varias instituciones han observado que el rápido desarrollo de la IA está estrechamente relacionado con el aumento de incidentes de seguridad en los últimos años; su principal función no es crear nuevos tipos de ataques, sino reducir drásticamente la barrera de entrada para los ataques y acelerar la escalabilidad de las técnicas existentes.

Un estudio de la Escuela de Gobierno de Harvard en colaboración con Bruce Schneier mostró que el phishing personalizado completamente automatizado por grandes modelos tiene una tasa de clics de aproximadamente 54%, comparable a la de expertos humanos, y muy superior al 12% de phishing común, además de permitir que las actividades a gran escala aumenten sus ganancias hasta 50 veces. Un informe de Microsoft también proporcionó datos de tasas de clics similares. La falsificación profunda de voz y video amplifica aún más estos riesgos.

El ritmo de explotación de vulnerabilidades también está acelerándose. Un informe de Microsoft indica que el tiempo medio desde que una vulnerabilidad se hace pública hasta que es armada es a menudo inferior a 24 horas. El informe de amenazas globales de CrowdStrike de 2026 muestra que las actividades de adversarios potenciadas por IA crecieron un 89% en 2025, y el "tiempo de ruptura" del crimen electrónico se redujo a un promedio de 29 minutos desde el acceso inicial hasta el movimiento lateral. El "Informe de costos de filtración de datos 2026" de IBM señala que aproximadamente una cuarta parte de las filtraciones maliciosas están relacionadas con IA, y que el costo promedio es más alto.

Bruce Schneier enfatiza el doble uso de la IA: puede automatizar eficazmente el phishing y también ser utilizada para identificar intenciones de phishing con alta precisión. Él cree que a corto plazo, los defensores pueden beneficiarse más en ciertos aspectos, pero esto es una carrera armamentista continua. Las evaluaciones de instituciones como CrowdStrike, Microsoft e IBM coinciden: la IA está optimizando tácticas existentes como la ingeniería social, el robo de credenciales y la explotación de vulnerabilidades, en lugar de abrir nuevos frentes, pero la velocidad y escala de los ataques han comprimido significativamente la ventana de defensa.

Para la industria de criptomonedas, esta tendencia se alinea estrechamente con los eventos relacionados con Coinbase. La vulnerabilidad de SMS de 2021 dependía del phishing para obtener credenciales, el soborno interno de 2025 se centró en la ingeniería social para inducir transferencias, y el incidente de Amplitude expone correos electrónicos y teléfonos, que son materia prima para phishing y ingeniería social. La IA hace que estos ataques sean más personalizados, multilingües y más difíciles de identificar, al tiempo que reduce costos y amplía el alcance de los objetivos. Los riesgos de la cadena de suministro y de terceros también se amplifican debido a la exploración y explotación aceleradas por la IA.