Pada bulan Mei, Coinbase mengungkap bahwa peretas telah mengambil data pribadi ribuan klien. Penjahat itu menggunakan data itu untuk menipu pelanggan agar menyerahkan kripto mereka. Peretasan ini, yang menurut Coinbase menelan biaya hingga $400 juta, berasal dari pegawai nakal di sebuah perusahaan outsourcing di India. Namun, bursa kripto terbesar di AS itu memberikan sedikit detail tentang siapa yang khususnya bertanggung jawab. Sekarang, sebuah berkas pengadilan baru memberikan gambaran lebih dekat tentang satu tersangka dan bagaimana dia membantu melakukan pelanggaran ini, yang merupakan yang terburuk dalam sejarah Coinbase.
Menurut keluhan yang diamandemen yang diajukan oleh firma hukum class-action Greenbaum Olbrantz, peretasan ini terkait dengan Ashita Mishra, seorang karyawan TaskUs. TaskUs adalah perusahaan yang berbasis di Texas yang melakukan outsourcing dukungan layanan pelanggan untuk perusahaan teknologi besar ke pasar tenaga kerja murah. Mishra bekerja di pusat layanan TaskUs di Indore, India.
Pada September 2024, dia mulai mencuri data rahasia pelanggan, termasuk nomor Jaminan Sosial dan informasi rekening bank, tuduh gugatan tersebut. Mishra setuju untuk menjual informasi itu kepada peretas, yang menggunakannya untuk menyamar sebagai karyawan Coinbase dan memancing korban untuk memberikan kripto mereka.
Dari September hingga Januari, Mishra dan seorang kaki tangan lainnya merekrut karyawan TaskUs lain untuk mencuri informasi pelanggan dalam “konspirasi hub-and-spoke yang canggih yang mengalirkan data pelanggan Coinbase dari komputer TaskUs kepada penjahat,” klaim class-action tersebut menyatakan. Bahkan pemimpin tim dan manajer operasi terlibat, tuduh keluhan itu, mengutip mantan karyawan TaskUs.
Ketika TaskUs akhirnya menyadari pelanggaran tersebut, ponsel Mishra berisi data untuk lebih dari 10.000 pelanggan Coinbase. Dia dan lainnya yang menjadi bagian konspirasi dibayar $200 per gambar, menurut keluhan itu. Terkadang, Mishra mengambil hingga 200 foto akun pelanggan Coinbase dalam sehari. Lebih dari 69.000 pelanggan terdampak, kata Coinbase dalam pengajuan reguler.
Dalang di balik skema penyuapan tersebut tampaknya adalah remaja dan anak dua puluhan tahun yang merupakan bagian dari kolektif longgar peretas kriminal yang disebut “the Comm,” seperti yang pernah dilaporkan Fortune.
Tuduhan bahwa pencurian data dimulai pada September 2024 adalah penting karena Coinbase sebelumnya menyatakan bahwa tanggal pelanggaran terjadi pada akhir Desember.
Dalam perkembangan lain yang notable, TaskUs alleged bulan ini bahwa karyawan Coinbase, bukan hanya vendor luar, terlibat dalam peretasan, tetapi pihak outsourcer tidak menjelaskan lebih lanjut.
Coinbase dan TaskUs tidak segera menanggapi permintaan komentar tentang keluhan yang diamandemen tersebut. Fortune tidak dapat segera menemukan informasi kontak untuk Ashita Mishra.
“Kami menempatkan prioritas tertinggi pada menjaga data klien kami dan pelanggan mereka dan terus memperkuat protokol keamanan global dan program pelatihan kami,” seorang juru bicara TaskUs sebelumnya mengatakan kepada Fortune.
“Kami memberitahu pengguna yang terdampak dan regulator, memutus hubungan dengan personel TaskUs yang terlibat dan agen luar negeri lainnya, dan mengencangkan kontrol,” kata juru bicara Coinbase dalam pernyataan sebelumnya tentang peretasan tersebut.
### ‘Pola penyembunyian’
Narasi yang diuraikan dalam keluhan tersebut adalah akun paling rinci tentang salah satu peretasan kripto terbesar tahun ini dan pelanggaran terbesar yang diungkapkan Coinbase dalam sejarah lebih dari satu dekade-nya.
Pengacara penggugat lain telah menggugat bursa kripto tersebut untuk peretasan ini. Coinbase telah mendorong agar gugatan ini memasuki arbitrase, yang merupakan proses yang secara historis membantu perusahaan mengurangi kerugian finansial dan publisitas buruk.
Ini mungkin menjelaskan sebagian mengapa firma class-action memilih untuk menuntut pihak outsourcer Coinbase, TaskUs, daripada langsung mengejar firma kripto tersebut.
Sebagai bagian dari keluhannya, firma hukum tersebut alleges bahwa TaskUs “mengambil langkah untuk membungkam mereka yang mengetahui pelanggaran tersebut.” Pada Januari, pihak outsourcer memecat 226 staf yang bekerja di Indore, seperti pernah dilaporkan Fortune. Perusahaan mengambil tindakan ekstrem karena konspirasi tersebut telah “begitu meresap menyusupi sistem TaskUs sehingga TaskUs tidak dapat mengidentifikasi semua individu yang terlibat,” alleges keluhan itu, mengutip mantan karyawan di pihak outsourcer.
Dan, pada 10 Februari, TaskUs memutuskan untuk memecat tim sumber daya manusia yang telah mereka kumpulkan untuk menyelidiki pelanggaran tersebut, dalam apa yang diklaim gugatan sebagai “pola penyembunyian.”
Berkas pengadilan baru dari Greenbaum Olbrantz mengamandemen keluhan awal yang diajukan pada Mei, sekitar dua minggu setelah Coinbase mengungkap peretasan tersebut. Firma tersebut sebelumnya telah membawa litigasi profil tinggi, termasuk gugatan yang alleges bahwa maskapai penerbangan menjual kursi jendela kepada pelanggan, hanya untuk mendudukkan mereka di sebelah dinding tanpa jendela.
Coinbase telah mencoba memasukkan gugatan itu dalam konsolidasi semua keluhan terkait peretasan terhadap bursa kripto tersebut. TaskUs telah mengajukan untuk membatalkan gugatan dan memblokir masuknya kasus tersebut ke dalam keluhan terkonsolidasi yang lebih besar.
“Keluhan yang kami amandemen memberikan penjelasan yang belum pernah terjadi sebelumnya tentang bagaimana pelanggaran data ini terjadi dan kami akan terus bekerja untuk meminta pertanggungjawaban semua pihak yang bertanggung jawab,” kata Carter Greenbaum, pendiri Greenbaum Olbrantz, dalam sebuah pernyataan.
Dalam vodcast Fortune Crypto Playbook yang baru, pakar kripto senior Fortune memecahkan kode kekuatan terbesar yang membentuk kripto saat ini. Tonton atau dengarkan sekarang.