Coinbase 보안 기록

AWS 냉각 장치 고장으로 Coinbase 거래가 8시간 중단되었습니다

19:20 ET에 AWS us-east-1 데이터 홀에서 여러 냉각 장치가 고장 나 use1-az4 가용 영역의 랙 전원이 꺼졌습니다. Coinbase의 거래는 거의 전부 19:48 ET에 중단되었습니다. Coinbase의 자체 설계 선택 두 가지가 단일 영역 제공자 장애를 플랫폼 중단으로 바꾸었습니다. Exchange 매칭 엔진이 자동 교차 영역 장애 조치 없이 해당 건물 하나에 고정된 배치 그룹에서 실행되어, 5개 노드 중 3개가 내려가면서 21:29 ET에 쿼럼이 상실되었고, AWS의 관리형 Kafka 서비스 결함이 파티션 리더 재선출을 막아 Coinbase의 수수료 서비스가 멈추고 호가가 끊겼습니다. 쿼럼은 5월 8일 0:06 ET에 복구되었고, 취소 전용 거래는 2:25에 재개되었으며, 모든 호가창은 3:49에 다시 열렸고, 웹사이트와 앱은 5:30부터 성능이 저하된 상태였다가 9:53에 완전히 복구되었으며, 이벤트 스트리밍 적체는 14:00에 해소되었습니다. Coinbase는 2026년 6월 1일에 상세한 사후 분석을 공개하고, 지속 시간을 용납할 수 없다고 밝혔으며, 해당 규제 당국에 규정된 기한 내에 통보했다고 말했고, 매칭 엔진의 상시 교차 영역 대기 환경과 정기적인 프로덕션 장애 조치 훈련을 약속했습니다.

Coinbase engineering postmortem

아일랜드 중앙은행, Coinbase Europe에 2,150만 유로 벌금 부과했습니다

코딩 오류 3건으로 Coinbase Europe 거래 모니터링 시스템의 21개 시나리오 가운데 5개가 모든 거래를 검사하지 못하게 되었습니다. 예를 들어 특수 문자로 구분된 가상자산 주소는 건너뛰었습니다. 아일랜드 중앙은행은 2021년 4월 23일부터 2025년 3월 19일까지 1,760억 유로가 넘는 30,442,437건의 거래가 자금세탁 방지를 위한 모니터링 없이 처리되었으며, 이는 해당 법인 거래량의 약 31%에 해당한다고 판단했습니다. Coinbase는 오류를 발견한 뒤 2~3주 안에 이를 수정했지만, 규제 당국은 영향받은 거래의 재처리를 마치는 데 거의 3년이 걸렸다고 지적했습니다. 이 재처리로 약 185,000건의 거래가 조사 대상으로 표시되었고 1,300만 유로 규모의 의심 거래 보고서 2,708건이 산출되었습니다. 21,464,734 유로의 벌금은 30,663,906 유로에서 30%의 화해 감경을 반영한 금액입니다.

Central Bank of Ireland press release

룩셈부르크 CSSF, MiCA에 따라 Coinbase 인가했습니다

Commission de Surveillance du Secteur Financier는 가상자산 시장 규정(Markets in Crypto Assets regulation)에 따라 Coinbase를 인가하여, 라이선스 1건으로 전체 상품군을 EU 회원국 27개국 전체에 패스포트할 수 있게 했습니다. 이는 Coinbase가 독일, 프랑스, 아일랜드, 이탈리아, 네덜란드, 스페인에서 각각 보유하던 국가별 등록을 통합하는 것이며, 아일랜드 대신 룩셈부르크를 유럽 허브로 삼는 것입니다.

Coinbase announcement

뇌물을 받은 고객지원 협력업체들이 고객 신원 데이터를 유출했습니다

범죄자들은 미국 밖에서 일하는 고객지원 협력업체 직원과 자체 직원에게 돈을 주고 내부 고객지원 시스템에서 고객 기록을 복제하게 했습니다. 2025년 5월 11일 이들은 데이터를 공개하지 않는 대가로 돈을 요구하는 이메일을 Coinbase에 보냈습니다. Coinbase는 요구를 거부하고 8-K로 이 사건을 공시했으며, 내부 관련자들을 해고했고, 그 대신 체포로 이어지는 정보에 2,000만 달러의 포상 기금을 마련했습니다. 이름, 주소, 전화번호, 이메일 주소, 마스킹된 은행 계좌번호, 사회보장번호 끝 네 자리, 정부 발행 신분증 이미지, 잔액 및 거래 내역이 유출되었습니다. 비밀번호, 개인 키, 2FA 코드, 고객 자금은 유출되지 않았고 Prime 계좌는 영향을 받지 않았습니다. Coinbase는 피해 수습과 자발적 보상에 1.8억 달러에서 4억 달러가 들 것으로 추산했으며, 그 직접적 결과로 공격자에게 자금을 보낸 자격 있는 개인(소매) 고객에게 환급하겠다고 밝혔습니다. SecurityWeek가 보도한 주 정부 유출 신고서에 따르면 영향받은 수는 69,461명이며 최초 데이터 절취 시점은 2024년 12월 26일입니다.

Coinbase Global Form 8-K, 14 May 2025

SEC, Coinbase에 대한 소송을 취하했습니다

SEC는 Coinbase Inc.와 Coinbase Global Inc.에 대한 2023년 6월 집행 소송을 취하하는 공동 합의서를 제출했습니다. SEC는 이 결정이 2025년 1월 21일 구성된 Crypto Task Force를 통해 가상자산 정책을 개혁하려는 자체 조치에 근거한 것이며, 혐의의 본안에 대한 평가와는 무관하다고 밝혔습니다. 과징금은 부과되지 않았고 Coinbase의 사업에 어떤 변경도 요구되지 않았습니다.

SEC press release 2025-47

영국 FCA, Coinbase의 결제 부문에 350만 파운드 벌금 부과했습니다

2020년 10월 30일 CB Payments Limited는 FCA가 고위험으로 분류한 고객을 신규 유치하지 못하도록 하는 요건을 자발적으로 수용했습니다. 그런 뒤 2020년 10월부터 2023년 10월 1일까지 그런 고객 13,416명을 신규 유치하거나 응대했습니다. 이들 중 약 31%가 약 2,490만 달러를 입금했고, 이 자금은 다른 Coinbase 법인들을 통해 약 2.26억 달러 규모의 가상자산 거래를 뒷받침했습니다. 3,503,546 파운드의 과징금은 이미 30%의 화해 감경을 반영한 것이며, 전자화폐규정(Electronic Money Regulations 2011)에 따른 FCA의 첫 집행 조치였습니다.

FCA press release

SEC, Coinbase를 등록되지 않은 거래소·브로커·청산기관으로 제소했습니다

SEC는 적어도 2019년부터 Coinbase가 거래소, 브로커, 청산기관의 기능을 어느 하나도 등록하지 않은 채 겸해 왔으며, 스테이킹 서비스 프로그램을 등록되지 않은 증권 공모로 제공했다고 주장했습니다. 또한 Coinbase Global Inc.를 지배 관계자(control person)으로 지목했습니다. Coinbase는 혐의를 부인하고 화해를 거부한 채 소송으로 다퉜습니다. 이 사건은 2025년 2월까지 이어졌고 본안에 대한 판단 없이 소 취하로 종결되었습니다.

SEC press release 2023-102

뉴욕 규제 당국이 자금세탁방지(AML) 미비로 Coinbase에 5,000만 달러의 벌금을 부과했습니다

뉴욕주 금융서비스국(New York Department of Financial Services)은 고객 확인, 거래 모니터링, 의심 거래 보고에서 장기간에 걸친 미비를 확인했습니다. 2021년 말까지 Coinbase에는 검토되지 않은 거래 모니터링 경보가 100,000건 넘게 적체되어 있었으며, 금융서비스국은 해당 회사가 의심 거래를 제때 조사하고 보고하지 않는 일이 일상적이었고 때로는 몇 달 늦게 신고하기도 했다고 판단했습니다. Coinbase는 5,000만 달러의 과징금을 납부하고 2년에 걸쳐 규정 준수에 추가로 5,000만 달러를 투자하기로 했습니다. 금융서비스국이 2022년 초에 설치한 독립 감시인은 1년 더 유지되었으며, 금융서비스국의 재량으로 연장할 수 있었습니다.

NYDFS press release

공격자들, SMS 복구 결함으로 최소 6,000개 계좌 탈취

2021년 3월부터 5월 20일까지 피싱으로 수집한 이메일 주소, 비밀번호, 전화번호를 이미 가지고 있던 공격자들이 Coinbase의 SMS 계좌 복구 절차의 결함을 악용해 2단계 인증 코드를 입수하고 플랫폼에서 가상자산을 빼냈습니다. 6,000명 이상의 고객이 영향을 받았습니다. Coinbase는 자격 증명이 Coinbase 자체에서 비롯되었다는 증거를 찾지 못했다고 밝혔고, SMS 복구 프로토콜을 업데이트해 우회 경로를 차단했으며, 2021년 9월 캘리포니아주 법무장관에게 제출한 서신으로 영향을 받은 고객에게 통지했고, 영향을 받은 각 계좌에 탈취된 금액의 전액을 환급했습니다.

The Record, Recorded Future News

CFTC, 데이터 보고 및 워시 트레이딩 문제로 Coinbase에 650만 달러 벌금 부과

CFTC는 2015년 1월부터 2018년 9월 사이에 Coinbase의 두 거래 프로그램인 Hedger와 Replicator가 GDAX 플랫폼의 특정 거래쌍에서 서로 주문을 체결하여 Coinbase 자신이 소유한 계좌 간의 거래를 발생시켰다고 판단했습니다. 그 데이터는 Coinbase의 웹사이트에 반영되고 다시 보고 서비스로 전달되어 거래량과 유동성에 대해 거짓이거나 오해를 부르는 인상을 주었습니다. 이 명령서는 또한 2016년 8월부터 9월까지 약 6주 동안 전직 직원이 라이트코인·비트코인 거래쌍에서 매수와 매도 주문을 서로 짝지어 워시 트레이딩으로 제출했으며, Coinbase에 대해서는 대위 책임을 인정했습니다. Coinbase는 합의를 위해 650만 달러의 민사 금전 벌금을 납부했습니다.

CFTC press release 8369-21