Por que mais uma vez um terceiro? Revisão dos riscos da cadeia de suprimentos da Coinbase e dilemas de defesa

Escrito por: Nicky, Foresight News

No dia 28 de outubro, segundo DelCrxpto e o diretor de segurança da informação da SlowMist, 23pds, a Coinbase sofreu uma violação de dados, com hackers obtendo informações de contato de mais de 70 mil usuários, mas ainda não foi confirmado se senhas ou fundos foram roubados.

No mesmo dia, a Coinbase respondeu, afirmando que "não houve violação de dados". De acordo com a empresa, o prestador de serviços de análise Amplitude enfrentou um incidente de segurança que afetou alguns dados de contato de clientes da Coinbase, bem como dados de outros clientes da Amplitude. A equipe não encontrou evidências de acesso não autorizado aos sistemas da Coinbase, e os fundos dos clientes não foram afetados. A empresa notificará os clientes e as autoridades regulatórias afetadas de acordo com suas obrigações legais.

Até a publicação deste artigo, a Amplitude ainda não havia respondido a este incidente.

Quem é a Amplitude?

A Amplitude é uma empresa americana listada em bolsa que fornece uma plataforma de análise de produtos digitais, com sede em São Francisco, e o código de ações Nasdaq: AMPL. Seu negócio é ajudar empresas a analisar o comportamento dos usuários na web e em aplicativos, com funcionalidades que incluem insights em tempo real, reprodução de sessões, testes A/B e ativação de dados, adotando um modelo de assinatura SaaS.

A empresa teve origem em 2011, quando Spenser Skates e Curtis Liu fundaram a Sonalight, inicialmente desenvolvendo um aplicativo de conversão de voz para SMS, e entrou no Y Combinator no inverno de 2012. Devido à falta de ferramentas eficazes de análise de comportamento do usuário, os dois construíram um sistema de análise interno, e em 2014 mudaram oficialmente para análise de produtos, lançando a marca Amplitude.

O terceiro cofundador, Jeffrey Wang, juntou-se à empresa no mesmo ano, tendo sua experiência anterior na Palantir e na Sumo Logic ajudado a empresa a estabelecer capacidades de processamento de dados em larga escala. Skates é o atual CEO, possui um diploma de bacharel em engenharia biológica pelo MIT e venceu duas vezes a competição de programação MIT Battlecode.

A Amplitude fez sua listagem direta na Nasdaq em setembro de 2021, com uma receita de aproximadamente 343 milhões de dólares no ano fiscal de 2025, empregando cerca de 750 a 800 pessoas, com clientes que vão desde startups até empresas da Fortune 100. Vale ressaltar que o preço das ações da AMPL começou a subir a partir de 6,6 dólares no final de junho, alcançando um novo recorde anual de 17,72 dólares em 23 de outubro.

Sobre este incidente, até 28 de outubro, não havia informações públicas sobre declarações ou anúncios de status oficiais da Amplitude. Anteriormente, a empresa também não tinha registros públicos de grandes vazamentos de dados em sua plataforma. No incidente SpotAngels de setembro de 2026, terceiros usaram credenciais roubadas para acessar alguns dados armazenados na Amplitude, mas a SpotAngels esclareceu que a plataforma Amplitude não foi comprometida.

A Amplitude tem casos de clientes claros nos setores financeiro e de criptomoedas. A Ramp Network é uma plataforma de entrada e saída de criptomoedas que utiliza profundamente as funcionalidades de análise, experimentação e reprodução de sessões da Amplitude, principalmente para análise de produtos e insights sobre a jornada do usuário, e não para sistemas de fundos principais. O Xapo Bank é um banco e instituição de custódia de Bitcoin que utiliza a Amplitude Analytics e a Feature Experimentation para otimizar o processo de abertura de contas, também sem envolver sistemas de custódia principais e chaves privadas.

Outros clientes financeiros incluem a fintech americana Dave, Salt Bank e alguns corretores de câmbio e derivativos. Para esses clientes, o risco está principalmente limitado a dados de análise de comportamento e algumas informações de contato, e não a transações, saldos ou chaves privadas. A principal ameaça após um vazamento é o phishing, engenharia social e troca de SIM, e não o roubo direto de criptomoedas.

A Coinbase afirmou que o incidente afetou os dados de outros clientes da Amplitude, mas atualmente não há informações públicas sobre outras empresas específicas mencionadas. A Ramp Network, Xapo e outras também não emitiram declarações relacionadas. As partes afetadas podem optar por notificar os usuários em particular ou ainda estão avaliando a extensão do impacto.

A Coinbase já enfrentou incidentes de segurança mais graves

Esta não é a primeira vez que a Coinbase enfrenta problemas de segurança de dados e contas.

O mais grave ocorreu em 2025. De acordo com a divulgação oficial, criminosos subornaram agentes de atendimento ao cliente no exterior para copiar dados do sistema de suporte ao cliente, envolvendo cerca de 69.461 usuários. O conteúdo vazado incluía nomes, endereços, telefones, e-mails, os últimos quatro dígitos do número de seguro social, informações bancárias mascaradas, fotos de documentos de identidade do governo, instantâneas de saldos de contas e histórico de transações, mas não envolvia senhas e chaves privadas. Os atacantes usaram essas informações para se passar por funcionários da Coinbase e enganaram os usuários para que transferissem criptomoedas.

A Coinbase se recusou a pagar um resgate de 20 milhões de dólares, optando por estabelecer uma recompensa equivalente para captura e condenação, demitindo funcionários envolvidos, cortando laços com o prestador de serviços de atendimento ao cliente terceirizado e compensando voluntariamente os usuários de varejo que foram enganados a transferir criptomoedas devido ao incidente. O relatório financeiro do segundo trimestre de 2025 da empresa confirmou que os custos relacionados foram de aproximadamente 307 milhões de dólares, incluindo compensações a clientes e custos legais diretos.

Um incidente anterior ocorreu entre março e maio de 2021. Os atacantes obtiveram e-mails, senhas e números de telefone por meio de phishing, utilizando uma vulnerabilidade no processo de recuperação de contas via SMS da Coinbase para contornar a autenticação de dois fatores, resultando na transferência de fundos de pelo menos 6.000 contas. A Coinbase posteriormente corrigiu a vulnerabilidade e reembolsou integralmente os fundos roubados de acordo com o valor na época do incidente.

O ponto em comum entre os dois incidentes é que as perdas diretas foram suportadas pela plataforma, mas uma vez que os dados vazam, o risco de serem utilizados para phishing e engenharia social pode persistir a longo prazo.

No dia 28 de outubro, o fundador da Binance, Zhao Changpeng (CZ), postou na plataforma X que, naquele dia, quatro incidentes de violação de dados foram relatados, além da Amplitude, prestadora de serviços da Coinbase, também estavam envolvidos a corretora de criptomoedas sul-coreana Bithumb, bem como instituições financeiras tradicionais da Coreia, Futuro Asset e Daishin Securities.

CZ apontou que as informações vazadas das plataformas de negociação, como nomes, e-mails, números de telefone, endereços, documentos de identificação e registros de transações, poderiam ser usadas para phishing, sequestro de cartões SIM e ataques de engenharia social. Suas recomendações se concentraram em isolamento de contas e métodos de verificação: configurar e-mails independentes e senhas fortes para diferentes plataformas de negociação, priorizar o uso de chaves de segurança de hardware, Passkey ou autenticadores, evitar depender da autenticação de dois fatores via SMS e habilitar listas brancas de endereços de retirada e códigos anti-phishing. Além disso, deve-se verificar regularmente as sessões de login da conta e as permissões das chaves de API, e estar atento a fraudes que se passam por atendimento ao cliente.

Ele também alertou que os endereços e informações de ativos vazados podem gerar riscos de extorsão ou roubo na vida real, e os usuários devem evitar divulgar suas situações de ativos pessoais.

Além disso, várias instituições observaram que o rápido desenvolvimento da IA está intimamente relacionado ao aumento recente de incidentes de segurança, com seu principal papel não sendo criar novos tipos de ataque, mas reduzir drasticamente a barreira de entrada para ataques e acelerar a escalabilidade de métodos existentes.

Uma pesquisa do Harvard Kennedy School em colaboração com Bruce Schneier mostrou que phishing personalizado totalmente automatizado por grandes modelos tem uma taxa de cliques de cerca de 54%, equivalente à de especialistas humanos, muito superior aos cerca de 12% de phishing comum, e pode aumentar os lucros de atividades em larga escala em até 50 vezes. O relatório da Microsoft também apresentou dados de taxa de cliques semelhantes. A falsificação profunda de voz e vídeo ampliou ainda mais esses riscos.

O ritmo de exploração de vulnerabilidades também está acelerando. O relatório da Microsoft indicou que o tempo médio desde a divulgação de uma vulnerabilidade até sua armadilha é frequentemente inferior a 24 horas. O relatório de ameaças globais da CrowdStrike de 2026 mostrou que as atividades de adversários impulsionadas por IA cresceram 89% em 2025, e o "tempo de ruptura" do crime eletrônico caiu para uma média de 29 minutos desde o acesso inicial até o movimento lateral. O "Relatório de Custos de Vazamento de Dados 2026" da IBM indicou que cerca de um quarto dos vazamentos maliciosos estão relacionados à IA, e o custo médio é maior.

Bruce Schneier enfatizou o duplo uso da IA: ela pode automatizar eficientemente o phishing e também ser usada para identificar intenções de phishing com alta precisão. Ele acredita que, a curto prazo, os defensores podem se beneficiar mais em alguns aspectos, mas isso é uma corrida armamentista contínua. As avaliações de instituições como CrowdStrike, Microsoft e IBM são unânimes: a IA está otimizando táticas existentes, como engenharia social, roubo de credenciais e exploração de vulnerabilidades, em vez de abrir novas frentes, mas o aumento da velocidade e da escala dos ataques comprimem significativamente a janela de defesa.

Para a indústria de criptomoedas, essa tendência se alinha fortemente com os eventos relacionados à Coinbase. A vulnerabilidade de SMS de 2021 dependia de phishing para obter credenciais, o suborno interno de 2025 era essencialmente uma engenharia social para induzir transferências, e o incidente da Amplitude expôs e-mails e telefones, que são os ingredientes para phishing e engenharia social. A IA torna esses ataques mais personalizados, multilíngues e mais difíceis de identificar, ao mesmo tempo em que reduz custos e amplia o alcance dos alvos. Os riscos da cadeia de suprimentos e de terceiros também foram ampliados devido à exploração e reconhecimento acelerados pela IA.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.