Datalek bij Coinbase-dienstverlener Amplitude: contactgegevens getroffen, saldo's onaangetast

Coinbase heeft in de nacht naar 28 oktober 2026 een veiligheidsincident bij een toeleverancier bevestigd. Blootgelegd zijn contactgegevens van een deel van de klanten, volgens de exchange e-mailadressen en telefoonnummers. Wachtwoorden, privésleutels, transactiehistories en saldo's zijn volgens dezelfde weergave onaangetast, en in de eigen systemen van de exchange is geen onbevoegde toegang vastgesteld. Het risico voor jou zit daarmee niet in de rekening, maar in de mailbox: wie jouw adres en jouw nummer kent en daarnaast weet dat je klant bent bij een crypto-exchange, kan je zeer gericht benaderen.

Het incident is geen aanval op een blockchain en geen diefstal van coins. Het hoort in een reeks gevallen die dit jaar vaker voorkomen en waarbij de gegevens weglekken bij de toeleverancier van een aanbieder en niet bij de aanbieder zelf. Voor betrokkenen is het verschil praktisch zonder betekenis: de gegevens zijn buiten, en buiten blijven ze.

Het incident bij Amplitude: een analysedienstverlener tussen exchange en klantgegevens

Amplitude is een aanbieder van productanalyse. Een analysedienstverlener is een bedrijf dat voor zijn klanten analyseert hoe mensen een app of een website gebruiken, en daarvoor gebruiksgegevens inzamelt en opslaat. Zo'n dienst wordt ingebouwd via een SDK, dus een klein codepakket van de dienstverlener dat in het product van de opdrachtgever meedraait en gebeurtenissen aan diens servers meldt.

Technisch betekent dat: wil de analyse zin hebben, dan moet de dienstverlener gebruikers van elkaar kunnen onderscheiden. In veel gevallen is een anonieme aanduiding daarvoor genoeg. Maar zodra een e-mailadres of een telefoonnummer wordt meegestuurd, zodat analyses met het eigen klantenbestand samengevoegd kunnen worden, liggen die gegevens bij de dienstverlener. Precies daar begint het gemelde incident.

Coinbase dateert de gebeurtenissen op 27 en 28 oktober 2026 en plaatst ze bij Amplitude, niet bij zichzelf. Volgens de exchange waren ook gegevens van andere Amplitude-klanten betrokken; het geval raakt dus niet alleen Coinbase. CoinDesk heeft die weergave op 28 oktober samengesteld uit een bericht van de Coinbase-support op X.

Welke gegevens openliggen: e-mailadres en telefoonnummer, geen wachtwoorden

Coinbase spreekt van een klein deel van de contactgegevens. De exchange noemt geen aantal betrokken rekeningen. Uitdrukkelijk uitgezonderd zijn volgens haar opgave wachtwoorden, privésleutels, transactiehistories en de saldo's zelf.

Die afbakening is belangrijker dan ze klinkt. Een e-mailadres en een telefoonnummer bewegen geen saldo. Ze openen geen rekening, en een inlog omzeilen ze ook niet. Wat ze leveren is iets anders: een treffer. Wie een lijst met adressen heeft waarvan bekend is dat daarachter rekeningen bij een grote crypto-exchange staan, hoeft niet meer breed te strooien. Hij kan aanschrijven en opbellen, en hij kan dat doen met een voorgeschiedenis die klopt.

Precies dat onderscheidt een lek van contactgegevens van een lek van wachtwoorden. Bij een wachtwoordlek is de toegang het probleem, en het tegenmiddel heet nieuw wachtwoord. Bij een lek van contactgegevens is de bereikbaarheid het probleem, en daartegen helpt geen nieuw wachtwoord, omdat het adres hetzelfde blijft.

Het getal 70.000 komt van SlowMist, niet van Coinbase

Over de omvang bestaan twee opgaven, en die liggen ver uit elkaar. Coinbase blijft bij een klein deel van de klanten zonder getal. Het blockchain-beveiligingsbedrijf SlowMist, van wie het hoofd beveiliging onder de naam 23pds optreedt, noemde de dataset echt en sprak van contactgegevens van meer dan 70.000 gebruikers; of wachtwoorden of saldo's betrokken waren, was niet opgehelderd.

Die 70.000 is een opgave van derden. Coinbase heeft haar niet bevestigd, en een onafhankelijke toetsing van het getal ontbreekt tot nu toe. Wie wil weten hoe groot het incident is, moet dus met een marge leven: een klein deel volgens de exchange, meer dan 70.000 rekeningen volgens een beveiligingsdienstverlener. Een van beide opgaven zal in de komende dagen preciezer te maken zijn, vandaag niet.

Voor je eigen situatie verandert die marge weinig. Of er 70.000 rekeningen betrokken zijn of duidelijk minder, bepaalt niet of jij ertoe hoort. Dat bepaalt alleen de kennisgeving, en die loopt via één enkel kanaal.

Coinbase informeert betrokkenen per e-mail en meldt het incident bij de toezichthouders

Coinbase heeft aangekondigd betrokken klanten per e-mail te informeren, en verwijst daarbij naar de wettelijke plicht. Het incident heeft de exchange naar eigen zeggen bovendien bij de bevoegde toezichthouders gemeld. Dat sluit aan bij de berichtgeving van Crypto Briefing, dat ook de ontkenning van een eigen hack door Coinbase vastlegt.

Daaruit volgt een onaangename situatie. De enige legitieme weg waarlangs het bericht jou bereikt, is datzelfde e-mailadres dat mogelijk openligt, en e-mail is tegelijk het kanaal waarlangs de nabootsers komen. Een mail die zich op dit datalek beroept, is daarom geen bewijs van haar echtheid, maar eerst alleen een aanwijzing dat het onderwerp bekend is.

Praktisch betekent dat: de informatie uit zo'n mail kun je meenemen, de links erin niet. Wat er in de mail staat, is in de app of via het zelf ingetypte adres van de exchange na te kijken. Wie in plaats daarvan de link volgt, laat de beslissing over de bestemming aan de afzender.

Social engineering na een datalek: zo verloopt het valse supportgesprek

Social engineering duidt de aanval op de mens aan in plaats van op de techniek: de aanvaller brengt zijn doelwit ertoe hem vrijwillig te geven wat hij anders niet zou krijgen. Een lek van contactgegevens is voor deze truc het ideale uitgangsmateriaal, omdat het de twee dingen levert die ze nodig heeft: een weg naar het slachtoffer en een reden waarom het telefoontje plausibel is.

Het verloop is al jaren hetzelfde en is na de grote lekken van de afgelopen maanden nauwelijks veranderd. Er meldt zich iemand die de naam van de exchange noemt, het geregistreerde e-mailadres kent en over een verdachte inlogpoging spreekt. Dan komt de haast, en aan het eind staat een handeling die onomkeerbaar is: een overboeking naar een zogenaamd veilig adres, het invoeren van een herstelzin op een nagebouwde pagina of het doorgeven van een eenmalige code.

Waaraan de truc zich verraadt

Twee kenmerken reiken het verst. Het eerste is de richting: echte support reageert op een vraag die jij hebt gesteld, ze belt niet uit zichzelf en dringt niet aan. Het tweede is de inhoud van het verzoek. Een herstelzin, een privésleutel en een eenmalige code hebben precies één doel, namelijk toegang verlenen. Elke instantie die daarnaar vraagt, wil toegang, en dat geldt los van hoe overtuigend het nummer in het display eruitziet.

Daarbij komen de kleinere signalen die in totaal tellen: een afzenderdomein dat maar bijna klopt, een link waarvan de bestemming in de statusbalk anders luidt dan in de tekst, een aanhef die te algemeen blijft, een tijdsdruk die zakelijk niet wordt onderbouwd, en het verzoek de zaak niet met derden te bespreken. Hoe een valse exchangemail aan deze kenmerken te herkennen is, staat uitvoerig in ons overzicht van phishing na een datalek; dat ook een echt uitziend afzenderadres geen bewijs is, laat het geval van een phishingmail vanaf een echt afzenderdomein zien.

Wat echte support nooit vraagt

Geen enkele exchange en geen enkele wallet-fabrikant heeft jouw herstelzin nodig om een rekening te ontgrendelen, een order te annuleren of een uitbetaling vrij te geven. Evenmin heeft iemand jouw eenmalige code nodig om je te helpen; die code bestaat om een inlog te bevestigen, en wie hem krijgt, bevestigt de zijne. En niemand vraagt je saldo voor de zekerheid naar een adres te sturen dat hij jou noemt.

Het laatste punt verdient een onderscheid, omdat de truc hier bij iets juists aanleunt. Zelfbeheer is een verstandige beslissing, maar het is een geplande, met een wallet die je zelf hebt uitgezocht en zelf hebt ingericht, en met een adres dat je zelf hebt aangemaakt. Een adres dat in het gesprek van de tegenpartij komt, is daarvan het tegendeel.

De statuspagina van Amplitude vermeldt het incident niet

Wie de weergave van de exchange wil natrekken, stuit op een gat. De openbare statuspagina van Amplitude noemt voor 24 tot 27 oktober 2026 storingen en onderhoud, waaronder een vertraagde levering van gebeurtenissen, onderhoud in het Amerikaanse datacentrum en vertraging bij de gegevensopname. Een veiligheidsincident is daar voor 27 en 28 oktober niet aangetekend.

De enige veiligheidsmelding in die periode is van 22 oktober en betreft kwetsbaarheden in PHP, een verbreide programmeertaal voor webtoepassingen. Amplitude houdt daar vast dat de eigen diensten door die kwetsbaarheden niet zijn geraakt, en dat het bedrijf met een geraakte derde partij werkt aan beveiligingsupdates aan diens kant. Of die melding met het nu gemelde incident samenhangt, is open; beide verbinden laat de bronnensituatie niet toe.

Vast te houden valt daarmee alleen dit: de toeschrijving van het incident aan Amplitude komt tot nu toe alleen van Coinbase. Een eigen weergave van de dienstverlener over de omvang en het aantal geraakte opdrachtgevers is er nog niet. Voor het plaatsen van het geval is dat een echte onzekerheid, en die lost pas op als Amplitude zelf iets zegt.

Coinbase in de EU: MiCA-vergunning via Luxemburg, AVG voor de meldplicht

Coinbase bedient de Europese markt op grond van een MiCA-vergunning van de Luxemburgse toezichthouder CSSF, aangekondigd in juni 2025 en opgezet voor alle 27 EU-staten. MiCA is de EU-verordening over markten in cryptoactiva; ze regelt wie cryptodiensten in de EU mag aanbieden en welke plichten daarbij horen. Eerder hield Coinbase afzonderlijke nationale vergunningen.

Voor een datalek is echter de Algemene verordening gegevensbescherming het bepalende rechtskader en niet MiCA. Die verplicht de verwerkingsverantwoordelijke een inbreuk op de bescherming van persoonsgegevens binnen 72 uur bij de toezichthouder te melden, en verlangt een kennisgeving aan de betrokkenen wanneer er een hoog risico voor hun rechten bestaat. Dat Coinbase over een melding bij toezichthouders en over e-mails aan betrokkenen spreekt, past bij die twee plichten.

Praktisch van gewicht is nog een derde punt: een verwerker, dus een dienstverlener die gegevens in opdracht verwerkt, ontslaat de opdrachtgever niet van zijn verantwoordelijkheid. Aanspreekpunt voor jou blijft de exchange, ook al lag het incident bij haar toeleverancier. En wie het met de reactie niet eens is, kan een klacht indienen bij een toezichthouder voor gegevensbescherming in het eigen land van verblijf; dat recht hangt er niet van af in welk EU-land het bedrijf is gevestigd.

Tweefactorauthenticatie en passkey: het verschil na een lek van contactgegevens

Tweefactorauthenticatie verlangt naast het wachtwoord een tweede bewijs, meestal een cijfercode. Welke vorm die tweede factor heeft, beslist na een lek van contactgegevens ongewoon veel, want een bekend telefoonnummer verschuift het aanvalsoppervlak.

Een code per sms is de zwakste van de verbreide varianten zodra het nummer bekend is. Ten eerste valt de code af te vragen doordat een beller aandringt op invoer op een nagebouwde pagina. Ten tweede bestaat SIM-swapping: daarbij laat een aanvaller het nummer van het slachtoffer naar een eigen simkaart overzetten en ontvangt de codes daarna zelf. Beide veronderstellen dat de aanvaller het nummer heeft.

Een code uit een authenticator-app is duidelijk robuuster, omdat hij in het apparaat ontstaat en niet over het mobiele netwerk loopt. Tegen een nagebouwde inlogpagina beschermt hij echter niet: wie de code daar intypt, geeft hem weg. Phishingresistent is pas een passkey of een beveiligingssleutel. Een passkey is een cryptografisch inlogbewijs dat op het apparaat blijft en vast gebonden is aan het adres van de echte website. Op een vals domein werkt hij niet, en dat is precies het punt: de bescherming hangt er niet van af dat jij de nabootsing herkent.

Zelfbeheer en hardware-wallet: waar contactgegevens geen rol meer spelen

Zelfbeheer, in het Engels self-custody, betekent dat de privésleutels van je cryptoactiva bij jou liggen en niet bij een aanbieder. Een positie in zelfbeheer is via de toeleverancier van een exchange niet bereikbaar, omdat daar noch sleutels noch toegang liggen. Een hardware-wallet is daarvoor het gebruikelijke apparaat: hij houdt de sleutel in een eigen chip en geeft hem ook bij het ondertekenen van een transactie niet af.

De prijs van die onafhankelijkheid is dat het sleutelrisico naar jou overgaat. Een verloren herstelzin kan door niemand worden teruggezet, en een hardware-wallet uit een onduidelijke bron brengt zijn eigen risico mee. Daarom scheiden veel beleggers naar doel: de lopende handel op een toegelaten exchange, het deel dat moet blijven liggen in eigen beheer.

Voor het geval dat vandaag voorligt, is de afweging toch kleiner dan ze klinkt. Er zijn geen sleutels weggelekt en geen saldo's. Wie zijn verdeling nu heroverweegt, doet dat minder vanwege dit incident dan vanwege de regelmaat waarmee toeleveranciers van aanbieders in het nieuws komen.

Coinbase-datalek: de kennisgeving komt alleen per e-mail

1. De toegang verharden. Kijk in de beveiligingsinstellingen van je rekening na welke tweede factor actief is, en vervang een code per sms door een authenticator-app of een passkey. Waar je terechtkomt bij aanbieders met de bijbehorende inlogmethoden, laat ons overzicht om bitcoin te kopen zien.
2. De langetermijnpositie scheiden. Bepaal welk deel van je cryptoactiva niet voor de handel nodig is, en breng het in eigen beheer. De verschillen in chip, herstel en aanschafweg staan in de hardware-wallet-vergelijking.
3. De komende weken op benaderingen letten. Reken op mails en telefoontjes die zich op dit incident beroepen, en behandel elk verzoek tot een overboeking of tot het invoeren van een herstelzin als een poging tot fraude.

Onder de streep is dit een incident over contactgegevens, niet over saldo's, en de weergave van de exchange is op dat punt tot nu toe consistent. Open blijven twee dingen: de werkelijke omvang, waarover Coinbase en SlowMist ver uit elkaar liggen, en een eigen weergave van Amplitude. Beide zijn reden om de kennisgeving af te wachten en tot dan geen ongevraagde benadering te volgen.

(Per 28 oktober 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)