Coinbase 내부자 폭로: 외주 고객 서비스가 만 명의 고객 정보를 몰래 촬영, 한 장당 200 달러에 판매

원문 저자：Ben Weiss，《포춘》
출처：Yuliya，PANews

올해 5월, Coinbase는 해커가 수천 명의 고객 개인 데이터를 훔치고 이 정보를 이용해 피해자에게 암호 자산을 넘기도록 유도했다고 밝혔습니다. Coinbase는 이번 사건으로 인해 최대 4억 달러의 손실이 발생할 수 있다고 전했습니다. 공식 발표에 따르면, 이번 해킹 공격은 인도의 한 아웃소싱 회사 내부 직원에 의해 발생했지만, 미국의 최대 암호화폐 거래소는 구체적인 관련자 정보를 공개하지 않았습니다. 최신 법원 문서는 한 용의자의 신원과 이번 사건에서 그가 맡은 역할을 밝혀냈으며, 이는 Coinbase 역사상 가장 심각한 보안 결함입니다.

집단 소송 법무법인 Greenbaum Olbrantz가 화요일 제출한 수정 소장에 따르면, 이번 해킹 사건은 TaskUs 직원 Ashita Mishra와 관련이 있습니다. TaskUs는 텍사스에 본사를 둔 상장 회사로, 주요 사업은 대형 기술 회사에 아웃소싱 고객 지원을 제공하며 저비용 노동 시장에서 활동하고 있습니다. Mishra는 TaskUs의 인도 인도르 서비스 센터에서 근무하고 있었습니다.

소송은 2024년 9월부터 Mishra가 사회 보장 번호와 은행 계좌 정보 등 기밀 고객 데이터를 훔치기 시작했다고 주장합니다. 그녀는 이 정보를 해커에게 판매하기로 동의했으며, 해커는 이후 Coinbase 직원으로 가장해 피해자에게 암호 자산을 전송하도록 유도했습니다.

2024년 9월부터 2025년 1월까지, Mishra는 또 다른 공범과 함께 더 많은 TaskUs 직원을 모집하여 고객 정보를 훔치는 데 참여시켰으며, "복잡한 방사형 음모 네트워크"를 형성하여 TaskUs 컴퓨터를 통해 Coinbase 고객 데이터를 범죄자에게 전달했습니다. 소장은 전 TaskUs 직원의 말을 인용하여 팀 관리자와 운영 관리자조차도 이 과정에 참여했다고 전했습니다.

TaskUs가 결국 문제를 인식했을 때, Mishra의 휴대폰에는 1만 명 이상의 Coinbase 고객 데이터가 저장되어 있었습니다. 소장에 따르면, Mishra와 그녀의 공범은 각 사진에 대해 200달러의 보수를 받았으며, 때로는 하루에 200장의 Coinbase 고객 계좌 사진을 촬영하기도 했습니다. Coinbase는 규제 문서에서 최종적으로 영향을 받은 고객이 6.9만 명이 넘는다고 밝혔습니다.

《포춘》의 이전 보도에 따르면, 이번 뇌물 계획의 배후 주모자는 "the Comm"라는 느슨한 해커 조직에 소속된 10대 또는 20대 초반의 젊은이들로 보입니다.

2024년 9월부터 시작된 데이터 도용에 대한 주장은 중요합니다. 왜냐하면 Coinbase는 이전에 공격이 12월 하순에 발생했다고 밝혔기 때문입니다.

또 다른 주목할 만한 발전으로, TaskUs는 이번 달 외부 공급업체뿐만 아니라 Coinbase 내부 직원도 해킹 사건에 연루되어 있다고 주장했지만, 회사는 추가적인 설명을 하지 않았습니다.

사건이 공개된 후, Coinbase의 한 대변인은 《포춘》에 "우리는 즉시 영향을 받은 사용자와 규제 기관에 통보하고, 영향을 받은 고객에게 보상하며, 공급업체와 내부 직원에 대한 관리를 강화하고, TaskUs와의 협력을 종료했습니다. 우리는 범죄자에게 몸값을 지불하는 것을 거부했으며, 범죄자가 체포되고 유죄 판결을 받을 수 있는 정보를 모집하기 위해 2000만 달러의 보상을 설정했습니다."라고 말했습니다.

수정 소장에 대해 TaskUs는 즉각적인 응답을 하지 않았습니다. 《포춘》도 Ashita Mishra의 연락처를 즉시 찾을 수 없었습니다.

TaskUs는 이전에 《포춘》에 "회사는 고객 및 사용자 데이터의 안전을 최우선 사항으로 여기며, 전 세계 보안 프로토콜 및 교육 프로그램을 지속적으로 강화할 것입니다."라고 밝혔습니다.

일련의 은폐 행위

소장에서 묘사된 이야기는 올해 최대 암호화폐 해킹 사건 중 하나이자 Coinbase 10여 년 역사에서 가장 심각한 결함에 대한 가장 상세한 기록입니다.

다른 원고 변호사들은 이미 이번 해킹 사건으로 Coinbase를 고소했으며, Coinbase는 이러한 소송을 중재 절차로 진행하기 위해 노력해왔습니다. 중재는 기업이 재정적 손실과 부정적 여론을 완화하는 데 도움을 주어 왔으며, 이는 집단 소송 법무법인이 아웃소싱 업체 TaskUs를 고소하기로 선택한 이유를 설명할 수 있습니다.

소장에서는 법무법인이 TaskUs가 "정보를 알고 있는 사람들을 침묵시키기 위한 조치를 취했다"고 주장하고 있습니다. 《포춘》의 이전 보도에 따르면, 올해 1월 TaskUs는 인도르에서 226명의 직원을 해고했습니다. 소장은 전 직원의 말을 인용하여, 회사가 이 극단적인 조치를 취한 이유는 음모 집단이 "TaskUs 시스템에 너무 깊숙이 침투하여 모든 관련자를 식별할 수 없었기 때문"이라고 전했습니다.

또한, 2월 10일, TaskUs는 본래 유출 사건을 조사할 책임이 있는 인사팀을 해고하기로 결정했습니다. 소장은 이러한 행위가 "일련의 은폐 행위"라고 주장했습니다.

Greenbaum Olbrantz가 이번에 제출한 새로운 법원 문서는 5월에 제출된 최초 소장의 수정본입니다. 당시 Coinbase는 해킹 사건을 약 2주 전에 공개했습니다. 이 법무법인은 이전에 "창가 좌석"을 판매하고 실제로는 창문이 없는 벽 쪽에 승객을 배치하는 등의 고소를 포함하여 여러 차례 주목받는 소송을 제기한 바 있습니다.

Coinbase 측은 이 소송을 거래소와 관련된 모든 해킹 사건을 통합한 소송으로 포함시키려 하고 있습니다. TaskUs는 이 소송을 기각하고 더 큰 범위의 통합 소송에 포함되는 것을 막기 위한 동의를 제안했습니다.

Greenbaum Olbrantz의 공동 창립자 Carter Greenbaum은 성명에서 "우리의 수정 소장은 이번 데이터 유출 사건이 어떻게 발생했는지를 전례 없이 드러내며, 우리는 모든 관련 책임자의 법적 책임을 추궁하기 위해 계속 노력할 것입니다."라고 밝혔습니다.