Histórico de segurança da Coinbase

Uma falha de refrigeração da AWS interrompeu a negociação da Coinbase por oito horas

Várias unidades de resfriamento falharam às 19h20 ET em um salão de dados da AWS us-east-1, desligando racks na zona de disponibilidade use1-az4. Quase toda a negociação da Coinbase parou às 19h48 ET. Duas escolhas de projeto da própria Coinbase transformaram uma falha do provedor em uma única zona em uma queda da plataforma: o motor de emparelhamento do Exchange rodava em um grupo de posicionamento fixado naquele único edifício, sem failover automatizado entre zonas, então o quórum foi perdido às 21h29 ET quando três de cinco nós caíram; e um defeito no serviço gerenciado de Kafka da AWS bloqueou a reeleição do líder de partição, o que travou o serviço de taxas da Coinbase e quebrou a cotação. O quórum foi restaurado às 0h06 ET em 8 de maio, a negociação somente de cancelamento voltou às 2h25, todos os livros de ofertas reabriram às 3h49, o site e o aplicativo ficaram degradados a partir das 5h30 e se recuperaram totalmente às 9h53, e o acúmulo de streaming de eventos foi zerado às 14h00. A Coinbase publicou uma análise posterior detalhada em 1º de junho de 2026, chamou a duração de inaceitável, disse que havia notificado os reguladores pertinentes dentro dos prazos exigidos e se comprometeu a ter reserva em espera ativa entre zonas para os motores de emparelhamento e a realizar exercícios regulares de failover em produção.

Coinbase engineering postmortem

Banco Central da Irlanda multa a Coinbase Europe em 21,5 milhões de euros

Três erros de programação fizeram com que cinco dos vinte e um cenários do sistema de monitoramento de transações da Coinbase Europe deixassem de verificar todas as transações. Endereços de criptomoedas separados por caracteres especiais, por exemplo, eram ignorados. O Banco Central constatou que 30.442.437 transações no valor de mais de 176 bilhões de euros ficaram sem monitoramento de lavagem de dinheiro entre 23 de abril de 2021 e 19 de março de 2025, cerca de 31% do volume da entidade. A Coinbase corrigiu os erros em duas a três semanas após encontrá-los, mas o regulador observou que levou quase três anos para terminar de reprocessar as transações afetadas. Esse reprocessamento sinalizou cerca de 185.000 transações para investigação e produziu 2.708 comunicações de transações suspeitas que abrangem 13 milhões de euros. A multa de 21.464.734 euros reflete um desconto de 30% por acordo sobre 30.663.906 euros.

Central Bank of Ireland press release

Coinbase autorizada sob o MiCA pela CSSF de Luxemburgo

A Commission de Surveillance du Secteur Financier autorizou a Coinbase sob o regulamento Markets in Crypto Assets, permitindo que ela use o passaporte europeu para levar toda a sua linha de produtos a todos os 27 Estados membros da UE com uma única licença. Isso unifica os registros nacionais separados que a Coinbase mantinha na Alemanha, na França, na Irlanda, na Itália, nos Países Baixos e na Espanha, e faz de Luxemburgo seu centro europeu no lugar da Irlanda.

Coinbase announcement

Contratados de suporte subornados vazaram dados de identidade de clientes

Criminosos pagaram a contratados de suporte e funcionários que trabalhavam fora dos Estados Unidos para copiar registros de clientes de sistemas internos de suporte. Em 11 de maio de 2025, eles enviaram um e-mail à Coinbase exigindo dinheiro para manter os dados em sigilo. A Coinbase recusou, divulgou o incidente em um formulário 8-K, demitiu os funcionários e contratados envolvidos e, em vez disso, criou um fundo de recompensa de US$ 20 milhões por informações que levassem a prisões. Foram levados nomes, endereços, números de telefone, endereços de e-mail, números de conta bancária mascarados, os últimos quatro dígitos dos números de seguro social, imagens de documentos de identidade oficiais e histórico de saldo e de transações. Senhas, chaves privadas, códigos 2FA e fundos de clientes não foram levados, e as contas Prime não foram afetadas. A Coinbase estimou entre US$ 180 milhões e US$ 400 milhões em remediação e reembolsos voluntários, e disse que reembolsaria clientes de varejo elegíveis que enviaram fundos aos atacantes como resultado direto. Suas notificações estaduais de violação de dados, reportadas pela SecurityWeek, indicam 69.461 afetados e datam o primeiro roubo de dados em 26 de dezembro de 2024.

Coinbase Global Form 8-K, 14 May 2025

SEC arquiva seu processo contra a Coinbase

A Comissão apresentou uma estipulação conjunta de desistência da ação de execução de junho de 2023 contra a Coinbase Inc. e a Coinbase Global Inc. Declarou que a decisão se baseou em sua própria iniciativa de reformar a política de criptoativos por meio da Crypto Task Force, criada em 21 de janeiro de 2025, e não em qualquer avaliação do mérito das alegações. Nenhuma multa foi imposta e nenhuma mudança nos negócios da Coinbase foi exigida.

SEC press release 2025-47

FCA do Reino Unido multa o braço de pagamentos da Coinbase em 3,5 milhões de libras

Em 30 de outubro de 2020, a CB Payments Limited aceitou voluntariamente uma exigência que a proibia de cadastrar clientes que a FCA classificava como de alto risco. Em seguida, ela cadastrou ou atendeu 13.416 desses clientes entre outubro de 2020 e 1º de outubro de 2023. Cerca de 31% deles depositaram aproximadamente US$ 24,9 milhões, que financiaram cerca de US$ 226 milhões em transações com criptoativos por meio de outras entidades da Coinbase. A multa de 3.503.546 libras já reflete um desconto de 30% por acordo, e foi a primeira medida de execução da FCA sob o Electronic Money Regulations 2011.

FCA press release

SEC processa a Coinbase por atuar como corretora, agente de compensação e bolsa não registrados

A SEC alegou que, pelo menos desde 2019, a Coinbase havia combinado as funções de bolsa, corretora e agência de compensação sem registrar nenhuma delas, e havia oferecido seu programa de staking como serviço na forma de uma oferta de valores mobiliários não registrada. A SEC também nomeou a Coinbase Global Inc. como pessoa controladora. A Coinbase contestou as alegações, recusou-se a fazer um acordo e litigou. O caso durou até fevereiro de 2025 e terminou com a extinção, sem decisão sobre o mérito.

SEC press release 2023-102

Regulador de Nova York multa a Coinbase em US$ 50 milhões por falhas na prevenção à lavagem de dinheiro

O Departamento de Serviços Financeiros de Nova York constatou falhas prolongadas na diligência devida de clientes, no monitoramento de transações e na comunicação de atividades suspeitas. No fim de 2021, a Coinbase tinha um acúmulo de mais de 100.000 alertas de monitoramento de transações não revisados, e o departamento constatou que ela rotineiramente deixava de investigar e comunicar atividades suspeitas dentro do prazo, às vezes apresentando os relatórios meses atrasados. A Coinbase pagou uma multa de US$ 50 milhões e concordou em investir outros US$ 50 milhões em conformidade ao longo de dois anos. Um monitor independente que o departamento instalou no início de 2022 foi mantido por mais um ano, prorrogável a critério do departamento.

NYDFS press release

Atacantes esvaziaram pelo menos 6.000 contas por meio de uma falha na recuperação por SMS

Entre março e 20 de maio de 2021, atacantes que já possuíam endereços de e-mail, senhas e números de telefone obtidos por phishing exploraram uma falha no processo de recuperação de contas por SMS da Coinbase para obter códigos de dois fatores e tirar criptomoedas da plataforma. Mais de 6.000 clientes foram afetados. A Coinbase disse que não encontrou evidências de que as credenciais viessem da própria Coinbase, atualizou o protocolo de recuperação por SMS para fechar a brecha, notificou os clientes afetados em uma carta protocolada junto ao Procurador-Geral da Califórnia em setembro de 2021 e creditou a cada conta afetada o valor total do que foi retirado.

The Record, Recorded Future News

CFTC multa a Coinbase em US$ 6,5 milhões por reporte de dados e wash trading

A CFTC concluiu que, entre janeiro de 2015 e setembro de 2018, dois programas de negociação da Coinbase, Hedger e Replicator, casaram ordens entre si em determinados pares na plataforma GDAX, gerando negociações entre contas que a própria Coinbase possuía. Esses dados foram para o site da Coinbase e daí para serviços de reporte, dando uma imagem falsa ou enganosa de volume e liquidez. A decisão também concluiu que, ao longo de cerca de seis semanas entre agosto e setembro de 2016, um ex-funcionário colocou ordens de compra e venda correspondentes no par litecoin bitcoin como wash trades, e responsabilizou a Coinbase de forma vicária. A Coinbase pagou uma multa civil de US$ 6,5 milhões para encerrar o caso.

CFTC press release 8369-21