История безопасности Coinbase

Сбой охлаждения в AWS остановил торговлю на Coinbase на восемь часов

Несколько блоков чиллеров вышли из строя в 19:20 ET в одном зале для данных AWS us-east-1, из-за чего отключились стойки в зоне доступности use1-az4. Почти вся торговля на Coinbase остановилась в 19:48 ET. Два собственных проектных решения Coinbase превратили сбой провайдера в одной зоне в простой платформы: механизм сопоставления Exchange работал в группе размещения, закрепленной за одним этим зданием, без автоматического переключения между зонами, поэтому кворум был потерян в 21:29 ET, когда вышли из строя три из пяти узлов; а дефект в управляемом сервисе Kafka от AWS заблокировал переизбрание лидера партиции, что остановило сервис комиссий Coinbase и нарушило выставление котировок. Кворум был восстановлен в 0:06 ET 8 мая, торговля в режиме только отмены вернулась в 2:25, все книги ордеров открылись снова в 3:49, сайт и приложение работали с перебоями с 5:30 и полностью восстановились в 9:53, а очередь потоковой передачи событий была расчищена в 14:00. Coinbase опубликовала подробный разбор инцидента 1 июня 2026 года, назвала такую длительность недопустимой, заявила, что уведомила соответствующие регуляторы в установленные ими сроки, и обязалась обеспечить теплый резерв между зонами для механизмов сопоставления и регулярные учения по переключению в рабочей среде.

Coinbase engineering postmortem

Центральный банк Ирландии оштрафовал Coinbase Europe на 21,5 млн евро

Три ошибки в коде привели к тому, что пять из двадцати одного сценария системы мониторинга транзакций Coinbase Europe не проверяли все транзакции. Например, пропускались криптоадреса, разделенные специальными символами. Центральный банк установил, что 30 442 437 транзакций на сумму более 176 млрд евро остались без мониторинга на предмет отмывания денег в период с 23 апреля 2021 года по 19 марта 2025 года, что составляет примерно 31 % объема этой структуры. Coinbase исправила ошибки в течение двух-трех недель после их обнаружения, но регулятор отметил, что повторная проверка затронутых транзакций заняла почти три года. Эта повторная проверка выявила около 185 000 транзакций для расследования и дала 2708 отчетов о подозрительных транзакциях на сумму 13 млн евро. Штраф в 21 464 734 евро учитывает скидку 30 % за урегулирование от суммы 30 663 906 евро.

Central Bank of Ireland press release

Coinbase получила разрешение по MiCA от люксембургского CSSF

Commission de Surveillance du Secteur Financier выдала Coinbase разрешение в рамках регламента о рынках криптоактивов, позволяющее ей использовать европейский паспорт для всего набора продуктов во всех 27 государствах-членах ЕС на основании одной лицензии. Оно объединяет отдельные национальные регистрации, которые Coinbase имела в Германии, Франции, Ирландии, Италии, Нидерландах и Испании, и делает Люксембург ее европейским центром вместо Ирландии.

Coinbase announcement

Подкупленные подрядчики службы поддержки слили идентификационные данные клиентов

Преступники платили подрядчикам поддержки и сотрудникам, работающим за пределами США, за копирование записей клиентов из внутренних систем поддержки. 11 мая 2025 года они отправили Coinbase письмо с требованием денег за неразглашение данных. Coinbase отказалась, раскрыла инцидент в форме 8-K, уволила виновных сотрудников и вместо этого создала фонд вознаграждения в 20 млн $ за информацию, ведущую к арестам. Были похищены имена, адреса, номера телефонов, адреса электронной почты, замаскированные номера банковских счетов, последние четыре цифры номеров социального страхования, изображения официальных удостоверений личности, а также история баланса и транзакций. Пароли, приватные ключи, коды 2FA и средства клиентов не пострадали, а счета Prime не были затронуты. Coinbase оценила расходы на устранение последствий и добровольные компенсации в сумму от 180 млн $ до 400 млн $ и заявила, что вернет средства правомочным розничным клиентам, которые отправили деньги атакующим вследствие инцидента. В ее уведомлениях об утечке, поданных властям штатов и освещенных SecurityWeek, число пострадавших указано как 69 461, а первая кража данных датируется 26 декабря 2024 года.

Coinbase Global Form 8-K, 14 May 2025

SEC прекратила свое дело против Coinbase

Комиссия подала совместное ходатайство о прекращении иска, поданного в июне 2023 года против Coinbase Inc. и Coinbase Global Inc. В нем указано, что решение опиралось на собственный шаг комиссии по реформированию криптополитики через Crypto Task Force, созданную 21 января 2025 года, а не на оценку обвинений по существу. Штраф не налагался, и изменений в бизнесе Coinbase не требовалось.

SEC press release 2025-47

FCA Великобритании оштрафовала платежное подразделение Coinbase на 3,5 млн фунтов

30 октября 2020 года CB Payments Limited добровольно приняла требование, запрещающее ей подключать клиентов, которых FCA классифицировала как высокорисковых. Затем она подключила или обслужила 13 416 таких клиентов в период с октября 2020 года по 1 октября 2023 года. Около 31 % из них внесли примерно 24,9 млн $, которые обеспечили около 226 млн $ транзакций с криптоактивами через другие структуры Coinbase. Штраф в 3 503 546 фунтов уже учитывает скидку 30 % за урегулирование и стал первым принудительным действием FCA в рамках Electronic Money Regulations 2011.

FCA press release

SEC подала иск против Coinbase как незарегистрированной биржи, брокера и клирингового агентства

SEC утверждала, что как минимум с 2019 года Coinbase совмещала функции биржи, брокера и клирингового агентства, не зарегистрировав ни одну из них, и предлагала свою программу «стейкинг как услуга» в качестве незарегистрированного предложения ценных бумаг. Комиссия также назвала Coinbase Global Inc. контролирующим лицом. Coinbase оспорила обвинения, отказалась от урегулирования и вела судебный процесс. Дело тянулось до февраля 2025 года и было прекращено без рассмотрения по существу.

SEC press release 2023-102

Регулятор Нью-Йорка оштрафовал Coinbase на 50 млн $ за нарушения в противодействии отмыванию денег

Департамент финансовых услуг штата Нью-Йорк выявил длительные нарушения в проверке клиентов, мониторинге транзакций и отчетности о подозрительной деятельности. К концу 2021 года у Coinbase скопилось более 100 000 непроверенных оповещений системы мониторинга транзакций, и департамент установил, что компания обычно не расследовала и не сообщала о подозрительной деятельности вовремя, иногда подавая отчеты с опозданием на месяцы. Coinbase выплатила штраф в размере 50 млн $ и согласилась вложить еще 50 млн $ в комплаенс в течение двух лет. Независимый мониторинговый контролер, назначенный департаментом в начале 2022 года, оставался на месте еще год с возможностью продления по усмотрению департамента.

NYDFS press release

Злоумышленники опустошили как минимум 6000 аккаунтов из-за уязвимости в восстановлении по SMS

С марта по 20 мая 2021 злоумышленники, у которых уже были похищенные фишингом адреса электронной почты, пароли и номера телефонов, использовали уязвимость в процессе восстановления аккаунта по SMS в Coinbase, чтобы получить коды двухфакторной аутентификации и вывести криптовалюту с платформы. Пострадали более 6000 клиентов. Coinbase заявила, что не нашла доказательств того, что учетные данные получены от самой Coinbase, обновила протокол восстановления по SMS, чтобы закрыть обход, уведомила пострадавших клиентов в письме, поданном генеральному прокурору Калифорнии в сентябре 2021, и зачислила на каждый пострадавший счет полную стоимость похищенного.

The Record, Recorded Future News

CFTC оштрафовала Coinbase на 6,5 млн $ за отчетность и фиктивные сделки

CFTC установила, что с января 2015 по сентябрь 2018 две торговые программы Coinbase, Hedger и Replicator, сопоставляли ордера друг с другом по некоторым парам на платформе GDAX, порождая сделки между счетами, которыми владела сама Coinbase. Эти данные попадали на сайт Coinbase и далее в сервисы отчетности, давая ложное или вводящее в заблуждение представление об объеме и ликвидности. В постановлении также установлено, что примерно за шесть недель между августом и сентябрем 2016 бывший сотрудник размещал совпадающие ордера на покупку и продажу в паре litecoin bitcoin как фиктивные сделки, и Coinbase была признана ответственной за действия работника. Coinbase уплатила гражданский денежный штраф в размере 6,5 млн $ в рамках урегулирования.

CFTC press release 8369-21