Fuite de données chez Amplitude, prestataire de Coinbase : coordonnées exposées, soldes intacts

Coinbase a confirmé dans la nuit du 28 octobre 2026 un incident de sécurité survenu chez un de ses prestataires. Les coordonnées d'une partie de sa clientèle ont été exposées, selon la plateforme des adresses électroniques et des numéros de téléphone. Les mots de passe, les clés privées, les historiques de transactions et les soldes sont intacts selon la même présentation, et aucun accès non autorisé n'a été constaté dans les systèmes propres de la plateforme. Le risque pour vous ne se situe donc pas dans le compte, mais dans la boîte de réception : qui connaît votre adresse et votre numéro, et sait de surcroît que vous êtes client d'une plateforme crypto, peut vous aborder de façon très ciblée.

L'incident n'est ni une attaque contre une blockchain ni un vol de cryptomonnaies. Il s'inscrit dans une série de cas qui se sont multipliés cette année, où les données fuient chez le prestataire d'un fournisseur et non chez le fournisseur lui-même. Pour les personnes touchées, la différence est pratiquement sans portée : les données sont sorties, et elles le restent.

L'incident chez Amplitude : un prestataire d'analyse entre la plateforme et les données clients

Amplitude est un fournisseur d'analyse de produit. Un prestataire d'analyse est une entreprise qui évalue pour ses clients la façon dont les gens utilisent une application ou un site, et collecte et conserve pour cela des données d'usage. Un tel service s'intègre via un SDK, c'est-à-dire un petit paquet de code du prestataire qui s'exécute dans le produit du donneur d'ordre et remonte les événements vers les serveurs du prestataire.

Techniquement, cela signifie que le prestataire doit pouvoir distinguer les utilisateurs pour que l'analyse ait un sens. Dans bien des cas, un identifiant anonyme suffit. Mais dès qu'une adresse électronique ou un numéro de téléphone est transmis afin de rapprocher les analyses du fichier client, ces informations se trouvent chez le prestataire. C'est précisément là que se situe l'incident signalé.

Coinbase date les faits des 27 et 28 octobre 2026 et les localise chez Amplitude, non chez elle. Selon la plateforme, des données d'autres clients d'Amplitude ont également été concernées ; le cas ne touche donc pas Coinbase seule. CoinDesk a rassemblé cette présentation le 28 octobre à partir d'un message du support de Coinbase sur X.

Quelles données sont exposées : adresse électronique et numéro de téléphone, aucun mot de passe

Coinbase parle d'une petite part des coordonnées. La plateforme ne donne aucun chiffre de comptes concernés. Sont expressément exclus, selon ses indications, les mots de passe, les clés privées, les historiques de transactions et les soldes eux-mêmes.

Cette distinction compte davantage qu'il n'y paraît. Une adresse électronique et un numéro de téléphone ne déplacent aucun solde. Ils n'ouvrent pas de compte et ne contournent pas davantage une connexion. Ce qu'ils apportent est autre chose : une cible identifiée. Qui détient une liste d'adresses dont on sait qu'elles correspondent à des comptes ouverts chez une grande plateforme crypto n'a plus besoin de ratisser large. Il peut écrire et appeler, et il peut le faire en s'appuyant sur un antécédent exact.

C'est exactement ce qui sépare une fuite de coordonnées d'une fuite de mots de passe. Dans le second cas, l'accès est le problème, et le remède s'appelle nouveau mot de passe. Dans le premier, c'est la joignabilité qui pose problème, et aucun nouveau mot de passe n'y change rien, puisque l'adresse reste la même.

Le chiffre de 70 000 vient de SlowMist, pas de Coinbase

Deux indications circulent sur l'ampleur, et elles sont très éloignées l'une de l'autre. Coinbase s'en tient à une petite part de sa clientèle, sans chiffre. La société de sécurité blockchain SlowMist, dont le responsable de la sécurité intervient sous le nom de 23pds, a qualifié le jeu de données d'authentique et a évoqué les coordonnées de plus de 70 000 utilisateurs ; la question de savoir si des mots de passe ou des soldes étaient concernés n'était pas tranchée.

Ces 70 000 sont une indication tierce. Coinbase ne les a pas confirmés, et aucune vérification indépendante du chiffre n'est disponible à ce jour. Qui veut savoir quelle est l'ampleur de l'incident doit donc composer avec une fourchette : une petite part selon la plateforme, plus de 70 000 comptes selon un prestataire de sécurité. L'une des deux indications pourra être précisée dans les prochains jours, pas aujourd'hui.

Pour votre propre situation, la fourchette change peu de chose. Que 70 000 comptes soient concernés ou nettement moins ne détermine pas si vous en faites partie. Cela, seule la notification le détermine, et elle passe par un canal unique.

Coinbase informe les personnes concernées par courriel et signale l'incident aux autorités de contrôle

Coinbase a annoncé qu'elle informerait par courriel les clients concernés, en se référant à son obligation légale. La plateforme indique par ailleurs avoir signalé l'incident aux autorités de contrôle compétentes. Cela concorde avec les informations de Crypto Briefing, qui documente également le démenti par Coinbase d'un piratage de ses propres systèmes.

Il en découle une situation inconfortable. La seule voie légitime par laquelle le message vous parvient est cette même adresse électronique qui est peut-être exposée, et le courriel est en même temps le canal par lequel arrivent les imitateurs. Un message qui se réclame de cette fuite de données ne prouve donc pas son authenticité ; il indique d'abord seulement que le sujet est connu.

Concrètement : l'information contenue dans un tel message, vous pouvez la retenir, les liens qu'il contient, non. Ce qui est écrit dans le message se vérifie dans l'application ou via l'adresse de la plateforme saisie par vous-même. Qui suit le lien laisse à l'expéditeur la décision sur la destination.

Ingénierie sociale après une fuite de données : comment se déroule le faux appel du support

L'ingénierie sociale désigne l'attaque contre la personne plutôt que contre la technique : l'attaquant amène sa cible à lui donner volontairement ce qu'il n'obtiendrait pas autrement. Une fuite de coordonnées est le produit de départ idéal pour ce procédé, car elle fournit les deux éléments dont il a besoin : une voie vers la victime et une raison rendant l'appel plausible.

Le déroulement est le même depuis des années et n'a guère changé après les grandes fuites de ces derniers mois. Quelqu'un se manifeste, cite le nom de la plateforme, connaît l'adresse électronique enregistrée et évoque une tentative de connexion suspecte. Vient ensuite l'urgence, et à la fin se trouve un acte irréversible : un virement vers une adresse prétendument sûre, la saisie d'une phrase de récupération sur une page reconstituée, ou la communication d'un code à usage unique.

Ce qui trahit la manœuvre

Deux caractéristiques portent le plus loin. La première est le sens de la démarche : un vrai support répond à une demande que vous avez formulée, il n'appelle pas de lui-même en pressant son interlocuteur. La seconde est le contenu de la requête. Une phrase de récupération, une clé privée et un code à usage unique ont exactement une fonction, celle d'accorder l'accès. Tout interlocuteur qui les réclame veut cet accès, et cela vaut indépendamment du caractère convaincant du numéro affiché.

S'y ajoutent les signaux plus discrets qui comptent par leur accumulation : un domaine d'expéditeur qui n'est presque juste, un lien dont la destination affichée dans la barre d'état diffère du texte, une formule d'adresse qui reste trop générale, une pression temporelle sans justification factuelle, et la demande de ne pas évoquer la démarche avec des tiers. La manière de reconnaître un courriel falsifié de plateforme à ces caractéristiques est détaillée dans notre panorama de l'hameçonnage après une fuite de données ; qu'une adresse d'expéditeur d'apparence authentique ne constitue pas une preuve, le montre le cas d'un courriel d'hameçonnage envoyé depuis un vrai domaine d'expéditeur.

Ce qu'un vrai support ne demande jamais

Aucune plateforme et aucun fabricant de portefeuille n'a besoin de votre phrase de récupération pour débloquer un compte, annuler un ordre ou autoriser un retrait. Personne n'a davantage besoin de votre code à usage unique pour vous aider ; ce code existe pour confirmer une connexion, et celui qui l'obtient confirme la sienne. Et personne ne vous demande d'envoyer un solde par sécurité vers une adresse qu'il vous indique.

Ce dernier point mérite une distinction, car le procédé s'adosse ici à quelque chose de juste. L'autoconservation est une décision sensée, mais c'est une décision préparée, avec un portefeuille que vous avez choisi et configuré vous-même, et avec une adresse que vous avez générée vous-même. Pour examiner au préalable quels programmes conviennent, le comparatif des portefeuilles logiciels expose les différences de sauvegarde, de récupération et de blockchains prises en charge. Une adresse qui vient de l'interlocuteur au cours d'un échange en est l'exact contraire.

La page d'état d'Amplitude ne mentionne pas l'incident

Qui veut contrôler la présentation de la plateforme se heurte à une lacune. La page d'état publique d'Amplitude recense pour la période du 24 au 27 octobre 2026 des perturbations et des maintenances, parmi lesquelles une livraison d'événements retardée, une maintenance dans le centre de données américain et des retards dans la collecte des données. Aucun incident de sécurité n'y est consigné pour les 27 et 28 octobre.

Le seul avis de sécurité de cette période date du 22 octobre et porte sur des vulnérabilités dans PHP, un langage de programmation répandu pour les applications web. Amplitude y indique que ses propres services ne sont pas concernés par ces vulnérabilités, et que l'entreprise travaille avec un fournisseur tiers touché à des mises à jour de sécurité de son côté. La question de savoir si cet avis est lié à l'incident désormais signalé reste ouverte ; les sources ne permettent pas de rapprocher les deux.

Seul ce constat peut être établi : l'imputation de l'incident à Amplitude provient jusqu'ici de Coinbase seule. Une présentation du prestataire lui-même sur l'ampleur et le nombre de donneurs d'ordre concernés n'est pas encore disponible. Pour situer l'affaire, c'est une véritable incertitude, et elle ne se dissipera que lorsque Amplitude s'exprimera.

Coinbase en Allemagne : agrément MiCA via le Luxembourg, RGPD pour l'obligation de notification

Coinbase sert le marché européen sur la base d'un agrément MiCA délivré par l'autorité luxembourgeoise CSSF, annoncé en juin 2025 et conçu pour couvrir les 27 États de l'Union. MiCA est le règlement européen sur les marchés de crypto-actifs ; il détermine qui peut proposer des services crypto dans l'Union et quelles obligations en découlent. Auparavant, Coinbase détenait des autorisations nationales distinctes, l'Allemagne comprise.

Pour une fuite de données, le cadre juridique déterminant est toutefois le règlement général sur la protection des données, et non MiCA. Celui-ci oblige le responsable du traitement à notifier une violation de données à caractère personnel à l'autorité de contrôle dans un délai de 72 heures, et exige l'information des personnes concernées lorsqu'un risque élevé pèse sur leurs droits. Que Coinbase évoque un signalement aux autorités de contrôle et des courriels aux personnes concernées correspond à ces deux obligations.

Un troisième point a également une portée pratique : un sous-traitant, c'est-à-dire un prestataire qui traite des données pour le compte d'un autre, ne décharge pas le donneur d'ordre de sa responsabilité. Votre interlocuteur reste la plateforme, même si l'incident s'est produit chez son prestataire. Et qui n'est pas satisfait de la réponse peut saisir une autorité de protection des données de son propre État de résidence ; ce droit ne dépend pas du pays de l'Union dans lequel l'entreprise est établie.

Authentification à deux facteurs et clé d'accès : la différence après une fuite de coordonnées

L'authentification à deux facteurs exige, outre le mot de passe, une seconde preuve, le plus souvent un code chiffré. La forme que prend ce second facteur joue un rôle inhabituellement important après une fuite de coordonnées, car un numéro de téléphone connu déplace la surface d'attaque.

Un code par SMS est la plus faible des variantes répandues dès lors que le numéro est connu. D'une part, le code peut être extorqué par un appelant qui pousse à le saisir sur une page reconstituée. D'autre part, il existe le détournement de carte SIM, le SIM swapping : un attaquant fait transférer le numéro de la victime sur sa propre carte SIM et reçoit ensuite les codes lui-même. Les deux supposent que l'attaquant dispose du numéro.

Un code issu d'une application d'authentification est nettement plus robuste, car il est généré dans l'appareil et ne transite pas par le réseau mobile. Il ne protège toutefois pas contre une page de connexion reconstituée : qui y saisit le code le transmet. Seule une clé d'accès, ou passkey, ou une clé de sécurité résiste à l'hameçonnage. Une clé d'accès est un justificatif de connexion cryptographique qui reste sur l'appareil et est solidement lié à l'adresse du site authentique. Sur un domaine falsifié, elle ne fonctionne pas, et c'est précisément le point : la protection ne dépend pas de votre capacité à repérer la contrefaçon.

Autoconservation et portefeuille matériel : là où les coordonnées ne comptent plus

L'autoconservation signifie que les clés privées de vos crypto-actifs sont chez vous et non chez un fournisseur. Un avoir en autoconservation n'est pas accessible via le prestataire d'une plateforme, puisque ni les clés ni l'accès ne s'y trouvent. Le portefeuille matériel est l'appareil habituel pour cela : il conserve la clé dans une puce dédiée et ne la restitue pas, même lors de la signature d'une transaction.

Le prix de cette indépendance est que le risque lié à la clé vous incombe. Une phrase de récupération perdue ne peut être réinitialisée par personne, et un portefeuille matériel d'origine incertaine apporte son propre risque. De nombreux investisseurs répartissent donc selon l'usage : la négociation courante sur une plateforme agréée, et la part destinée à rester immobile en conservation propre.

Pour le cas présent, l'arbitrage est de toute façon plus limité qu'il n'y paraît. Aucune clé n'a fui, aucun solde non plus. Qui revoit sa répartition maintenant le fait moins en raison de cet incident qu'en raison de la régularité avec laquelle les prestataires de fournisseurs font les titres.

Fuite de données Coinbase : la notification arrive uniquement par courriel

1. Durcir l'accès. Vérifiez dans les réglages de sécurité de votre compte quel second facteur est actif, et remplacez un code par SMS par une application d'authentification ou une clé d'accès. Quelles places de marché exercent sous agrément dans l'Union et quels procédés de connexion elles proposent figurent dans le comparatif des plateformes crypto réglementées.
2. Séparer l'avoir de long terme. Déterminez quelle part de vos crypto-actifs n'est pas nécessaire à la négociation, et placez-la en conservation propre. Les différences de puce, de récupération et de circuit d'achat figurent dans le comparatif des portefeuilles matériels.
3. Rester attentif aux sollicitations des prochaines semaines. Attendez-vous à des courriels et des appels se réclamant de cet incident, et traitez toute invitation à effectuer un virement ou à saisir une phrase de récupération comme une tentative d'escroquerie. Qui réorganise de toute façon son compte trouvera les frais et les voies de dépôt des grands fournisseurs dans le comparatif des plateformes.

Au bout du compte, il s'agit d'un incident portant sur des coordonnées et non sur des soldes, et la présentation de la plateforme est jusqu'ici cohérente sur ce point. Deux choses restent ouvertes : l'ampleur réelle, sur laquelle Coinbase et SlowMist s'écartent fortement, et une présentation d'Amplitude elle-même. Les deux justifient d'attendre la notification et, d'ici là, de ne suivre aucune sollicitation non demandée.

(Au 28 octobre 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)