Pourquoi encore un tiers ? Retour sur les risques de la chaîne d'approvisionnement de Coinbase et les dilemmes de défense

Rédigé par : Nicky, Foresight News

Le 28 octobre, selon DelCrxpto et le directeur de la sécurité de l'information de SlowMist, 23pds, Coinbase a subi une fuite de données, des hackers ayant obtenu les informations de contact de plus de 70 000 utilisateurs, mais il n'a pas encore été confirmé si des mots de passe ou des fonds ont été volés.

Le même jour, Coinbase a répondu en affirmant qu'« aucune fuite de données n'avait eu lieu ». Selon ses déclarations, le fournisseur de services d'analyse Amplitude a subi un incident de sécurité qui a affecté certaines données de contact des clients de Coinbase ainsi que d'autres données de clients d'Amplitude. L'équipe n'a trouvé aucune preuve d'accès non autorisé aux systèmes de Coinbase, et les fonds des clients n'ont pas été affectés. L'entreprise informera les clients concernés et les régulateurs conformément à ses obligations légales.

À la date de publication, Amplitude n'a pas encore répondu à cet incident.

Qui est Amplitude ?

Amplitude est une entreprise américaine cotée en bourse qui fournit une plateforme d'analyse de produits numériques, basée à San Francisco, avec le code boursier Nasdaq : AMPL. Son activité consiste à aider les entreprises à analyser le comportement des utilisateurs sur le Web et les applications, avec des fonctionnalités telles que des insights en temps réel, la relecture de sessions, des tests A/B et l'activation des données, en utilisant un modèle d'abonnement SaaS.

L'entreprise a été fondée en 2011 par Spenser Skates et Curtis Liu sous le nom de Sonalight, initialement pour une application de conversion de la voix en SMS, et a intégré Y Combinator à l'hiver 2012. En raison du manque d'outils d'analyse du comportement des utilisateurs efficaces, les deux fondateurs ont construit un système d'analyse interne, puis ont officiellement pivoté vers l'analyse de produits en 2014 en lançant la marque Amplitude.

Le troisième cofondateur, Jeffrey Wang, a rejoint la même année, son expérience chez Palantir et Sumo Logic ayant aidé l'entreprise à établir des capacités de traitement de données à grande échelle. Skates est actuellement le PDG, titulaire d'un diplôme en ingénierie biologique du MIT, et a remporté deux fois le concours de programmation MIT Battlecode.

Amplitude a été introduite directement en bourse sur le Nasdaq en septembre 2021, avec un chiffre d'affaires d'environ 343 millions de dollars pour l'exercice 2025, et emploie environ 750 à 800 personnes, ses clients allant des startups aux entreprises du Fortune 100. Il est à noter que le prix de l'AMPL a commencé à augmenter depuis 6,6 dollars fin juin, atteignant un nouveau sommet annuel de 17,72 dollars le 23 octobre.

Concernant cet incident, à la date du 28 octobre, aucune déclaration officielle ou annonce de statut n'a été publiée par Amplitude. Auparavant, l'entreprise n'avait pas non plus d'antécédents de fuites de données à grande échelle sur sa plateforme. Lors de l'incident SpotAngels en septembre 2026, un tiers a utilisé des identifiants volés pour accéder à certaines données stockées sur Amplitude, mais SpotAngels a clairement précisé que la plateforme Amplitude n'avait pas été compromise.

Amplitude a des cas clients clairs dans le secteur financier et des cryptomonnaies. Ramp Network est une plateforme de dépôt et de retrait de cryptomonnaies qui utilise en profondeur les fonctionnalités d'analyse, d'expérimentation et de relecture de sessions d'Amplitude, principalement pour l'analyse de produits et les insights sur le parcours utilisateur, et non pour les systèmes de fonds principaux. Xapo Bank est une banque et un dépositaire de bitcoins qui utilise Amplitude Analytics et Feature Experimentation pour optimiser le processus d'ouverture de compte, sans impliquer les systèmes de garde principaux et les clés privées.

D'autres clients financiers incluent la société fintech américaine Dave, Salt Bank ainsi que certains courtiers en devises et en produits dérivés. Pour ces clients, le risque est principalement limité aux données d'analyse comportementale et à certaines informations de contact, et non aux transactions, soldes ou clés privées. La principale menace après une fuite est le phishing, l'ingénierie sociale et l'échange de SIM, et non le vol direct de cryptomonnaies.

Coinbase a déclaré que l'incident a affecté les données d'autres clients d'Amplitude, mais n'a pas encore nommé publiquement d'autres entreprises spécifiques. Ramp Network, Xapo et d'autres n'ont pas non plus publié de déclarations à ce sujet. Les parties affectées peuvent choisir d'informer les utilisateurs en privé ou sont encore en train d'évaluer l'étendue de l'impact.

Coinbase a déjà connu des incidents de sécurité plus graves

Ce n'est pas la première fois que Coinbase fait face à des problèmes de sécurité des données et des comptes.

Le plus grave incident a eu lieu en 2025. Selon les informations officielles, des criminels ont soudoyé des agents de service client à l'étranger pour copier des données à partir du système de support client, impliquant environ 69 461 utilisateurs. Les informations divulguées comprenaient des noms, adresses, numéros de téléphone, e-mails, les quatre derniers chiffres de la sécurité sociale, des informations bancaires masquées, des photos de documents d'identité gouvernementaux, des instantanés de soldes de comptes et des historiques de transactions, mais n'impliquaient pas de mots de passe ou de clés privées. Les attaquants ont principalement utilisé ces informations pour se faire passer pour des employés de Coinbase et tromper les utilisateurs pour qu'ils transfèrent eux-mêmes des cryptomonnaies.

Coinbase a refusé de payer une rançon de 20 millions de dollars, choisissant plutôt de mettre en place une récompense équivalente pour capturer et condamner les coupables, tout en licenciant le personnel concerné, en mettant fin à sa collaboration avec le prestataire de services externalisés et en indemnisant volontairement les utilisateurs de détail qui ont été trompés par cet incident. Le rapport financier du deuxième trimestre 2025 de l'entreprise a confirmé que les coûts associés s'élevaient à environ 307 millions de dollars, y compris les indemnisations des clients et les coûts juridiques directs.

Un incident antérieur a eu lieu entre mars et mai 2021. Les attaquants ont obtenu des adresses e-mail, mots de passe et numéros de téléphone par phishing, exploitant une vulnérabilité dans le processus de récupération de compte par SMS de Coinbase pour contourner la double authentification, entraînant le transfert de fonds d'au moins 6 000 comptes. Coinbase a ensuite corrigé la vulnérabilité et a remboursé intégralement les fonds volés selon la valeur au moment de l'incident.

Le point commun entre ces deux incidents est que les pertes directes ont finalement été supportées par la plateforme, mais une fois que les données sont divulguées, le risque d'être utilisé pour le phishing et l'ingénierie sociale persiste à long terme.

Le 28 octobre, Changpeng Zhao (CZ), fondateur de Binance, a publié sur la plateforme X en indiquant que quatre incidents de fuite de données avaient été signalés ce jour-là, en plus du fournisseur de services tiers d'Amplitude de Coinbase, impliquant également l'échange de cryptomonnaies sud-coréen Bithumb, ainsi que les institutions financières traditionnelles sud-coréennes Mirae Asset et Daishin Securities.

CZ a souligné que les informations divulguées par les plateformes d'échange, telles que les noms, adresses e-mail, numéros de téléphone, adresses, documents d'identité et historiques de transactions, pourraient être utilisées pour des attaques de phishing, de détournement de carte SIM et d'ingénierie sociale. Ses recommandations se concentrent sur l'isolement des comptes et les méthodes de vérification : configurer des e-mails et des mots de passe distincts pour différentes plateformes d'échange, privilégier l'utilisation de clés de sécurité matérielles, de Passkey ou d'authentificateurs, éviter de dépendre de la double authentification par SMS, et activer la liste blanche des adresses de retrait et les codes anti-phishing. De plus, il est conseillé de vérifier régulièrement les sessions de connexion aux comptes et les autorisations des clés API, et de rester vigilant face aux escroqueries se faisant passer pour des agents de service client.

Il a également averti que les adresses et les informations de détention d'actifs divulguées pourraient entraîner des risques de chantage ou de vol dans la vie réelle, et que les utilisateurs devraient éviter de rendre publiques leurs situations d'actifs personnels.

De plus, plusieurs institutions ont observé que le développement rapide de l'IA est étroitement lié à la hausse des incidents de sécurité ces dernières années, son rôle principal n'étant pas de créer de nouveaux types d'attaques, mais de réduire considérablement le seuil d'attaque et d'accélérer la mise à l'échelle des méthodes existantes.

Une étude menée par la Harvard Kennedy School en collaboration avec Bruce Schneier montre que le phishing personnalisé entièrement automatisé par de grands modèles a un taux de clic d'environ 54 %, équivalent à celui des experts humains, et bien supérieur au taux d'environ 12 % du phishing ordinaire, et peut augmenter les bénéfices des activités à grande échelle jusqu'à 50 fois. Le rapport de Microsoft a également fourni des données de taux de clic similaires. La voix et la vidéo générées de manière approfondie amplifient encore ce risque.

Le rythme d'exploitation des vulnérabilités s'accélère également. Le rapport de Microsoft indique que le temps médian entre la publication d'une vulnérabilité et son utilisation à des fins malveillantes est souvent inférieur à 24 heures. Le rapport mondial sur les menaces de CrowdStrike pour 2026 montre que les activités des adversaires alimentées par l'IA ont augmenté de 89 % en 2025, et le "temps de percée" de la cybercriminalité est passé à une moyenne de 29 minutes entre l'accès initial et le mouvement latéral. Le rapport d'IBM sur le coût des violations de données pour 2026 indique qu'environ un quart des violations malveillantes sont liées à l'IA, et que le coût moyen est plus élevé.

Bruce Schneier souligne le double usage de l'IA : elle peut à la fois automatiser efficacement le phishing et être utilisée pour identifier avec une grande précision les intentions de phishing. Il estime qu'à court terme, les défenseurs pourraient bénéficier davantage dans certains domaines, mais il s'agit d'une course aux armements continue. Les jugements d'institutions telles que CrowdStrike, Microsoft et IBM sont unanimes : l'IA optimise les tactiques existantes telles que l'ingénierie sociale, le vol d'identifiants et l'exploitation de vulnérabilités, plutôt que d'ouvrir de nouveaux fronts, mais l'augmentation de la vitesse et de l'échelle des attaques réduit considérablement la fenêtre de défense.

Pour l'industrie des cryptomonnaies, cette tendance est fortement en corrélation avec les événements liés à Coinbase. La vulnérabilité par SMS de 2021 dépendait du phishing pour obtenir des identifiants, le pot-de-vin interne de 2025 était essentiellement une tromperie d'ingénierie sociale pour inciter au transfert, et l'incident Amplitude actuel expose les e-mails et les numéros de téléphone, qui sont les matières premières pour le phishing et l'ingénierie sociale. L'IA rend ces attaques plus personnalisées, multilingues et plus difficiles à identifier, tout en réduisant les coûts et en élargissant la portée des cibles. Les risques de chaîne d'approvisionnement et de tiers sont également amplifiés par la reconnaissance et l'exploitation accélérées par l'IA.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.