집안일 때문에 한국들어와 있는데 코인베이스 해킹당해서 다 털렸어요. 어카운트 잠겨버리고 .
문제는 나와 있는동안 제 운전면허증이 exprired 되어서 아이디로 사용할수 없고 하여 모든것이 머리아프게 되었네요.

미국계좌를 한국계좌로 바꿔서 수사를 진행한다고 하는데, 한국여권에 주소가 없고, 주소를 증명할수 있는 영문서류로 주민등록등본 영문본을 보냈더니 받아 들일수 없다고 일주일째 사람을 힘들게 하네요. 한국에선 영문으로 주소가 들어간 서류를 만들어 주는곳은 따로 없고….

혹시 이런 경험 있으신분이나 이런부분에 지식 있으신분 조언좀 부탁드립니다. 처음 격는일이라 황당하고 어떻게 싸워(?) 나가야 하는지.

미리 감사드립니다.

도움드릴 내용은 없지만 한 가지 궁금하여 여쭤봅니다.

해킹이 된 후에 어카운트가 동시에 잠기게 됐을 텐데, 잠긴 어카운트가 해킹이 됐다는 것은 어떻게 알 수 있죠? 로그인 하지 않고 coin balance를 알 수 있는 방법이 있나요? 혹시 mint 같은, 소위 financial aggregator라고 불리는, 서비스를 통해 coin 이 없어지는 것을 알 수 있었던 것인가요?

Coin transaction 을 승인하라는 scammer 의 메일과 코인베이스 메일이 약간의 시간차를 두고 왔고, 어느것을 믿어야 될지 몰라 하나도 클릭하지 않았고 코인 베인스 커스토머 전화를 인터넷에서 찾아 시도했으나 당일은 전화가 이상한 곳으로 걸렷어요.

시간이 지나 나중에 같은 번호로 전화 하니 코인베인스 커스토머 케어로 연결되었고 3시간 어카운트 리커버리 시도후 미국 아이디 문제로 안된다는것을 알았고, 커스토머케어가 맨 마지막에 코인 다 없어진것을 ( 알려주면 안되는데 제가 부탁하고 부탁해서) 알려줫어요.
전 내용을 알려줄수는 없다 하고 모든 코인이 다 없어졌다고 만 알려줬어요.

전화하셨다는 그 이상한 고객서비스 번호 여기에 알려줘 보세요.

코인베이스 인증이 그렇게 하술하지 않은데 왠지 느낌에 중간자 공격을 시도하다가 성공 못 한 채 끝나버렸을 수도 있을 것 같습니다. 계좌 밸런스를 님이 직접 확인한 게 아니잖아요.

님이 전화한 곳이 해커였으면 코인베이스 고객서비스를 사칭해서 걔네가 OTP 도 보내고 (또는 OTP 번호도 물어보고), 계정에 문제가 있는 것처럼 알려서 계속 전화상에 붙잡아두려고 하죠. 액세스 정보를 캐낼 때까지 말이죠.

본인 확인 완료 못 했다고 했죠.

이상해요. 금융 기관 regulation 때문에 잔액은 말할 것도 없고 개인 계좌 정보를 고객서비스가 알려줄 수가 없어요. 조른다고 알려줄 수 있는 정보가 아니에요. 심지어 잔액을 보는 거 자체를 고객 동의를 받고 레코딩 해 놔야 돼요. 본인 확인도 못 했는데 계좌를 열어봤다 그것부터 이상하고, 잔액을 알려주기까지 한다는 건 더 이상해요. 그게 진짜 코인베이스 고객서비스이면 그거 신고하면 기관 벌금 먹을 듯.

본인 확인이 된 경우에는 조를 필요없이 계좌 X 의 잔액 얼마니 하고 물으면 “열어봐도 돼”하고 고객서비스가 명시적 동의를 고객에게 구한 후에 숫자를 불러줍니다. 조르지 않아도 돼요.

님 계좌가 잠겨있을 뿐 잔액은 멀쩡할 수도 있을 가능성 좀 보입니다. 님이 그거 복구한다고 해커한테 전화한 후 코인베이스에서 OTP 번호 받아서 해커한테 보내는 그런 일 안 했다면요.

전한국인데… 휴스톤에서 접속해서 가져갔데네요. 그들이 어카운트 들어오기전에 고객센터랑 전화 안하고 아무것도 안했었어요. 코인베이스는 책임없다고 제 어카운트는 제책임이라네요. 저보고 경찰하고 알아서 하라네요.

참 안타까운 일이네요.

님 로그인 세팅과, 해커의 로그인 기록을 대조하여 어디에 문제가 있었는지 알아내는 과정이 필요하겠네요.

1
님이 폰 지문인식 인증을 썼는데 해킹됐다면, 코인베이스쪽 결함이 있을 수 있어요. 고객의 실수로 fingerprint 정보가 누설될 가능성은 매우 낮아요.

2
님이 폰번호 OTP 인증을 썼는데 해킹됐다면, 마찬가지로 코인베이스 쪽 결함이 있을 수 있지만, 폰이 해킹되어 OTP 코드가 누설됐을 가능성도 있기 때문에, 고객에게 책임이 없음을 주장하기 참 어렵죠.

폰 OTP 가 켜져 있었는데, 님은 OTP 코드를 받은 적이 없고 해킹이 됐다면, 큰 사고죠. 이 경우라면 언론에 제보할 준비도 하셔야 할 듯. 폰 OTP에 보안을 의지하는 수억 명의 다른 사람들이 있거든요.

3
님이 이메일 OTP 인증을 썼는데 해킹이 됐다면, 여기부터는 님 부주의 잘못이 확실히 더 큽니다. 이메일 계정이 해킹됐을 수 있어요. 님이 보는 OTP 코드를 해커도 같이 볼 수 있으니까요. 아주 높은 확률로 이메일과 password가 black market에 돌아다니고 있을 겁니다. 수억 개 이상의 레코드를 포함한 대규모 data breach가 전에 많이 일어났었고 지금도 일어나고 있거든요.

4
OTP 없이 패스워드 인증만 사용했다면 (코인베이스에서 이게 가능한지 모르지만요, 저는 OTP 없이 써본 적이 없어서), 이건 고객이 책임이 없음을 입증하는 거 불가능이에요. 패스워드는 거의 black market 에 공개된 정보나 마찬가지거든요.

5
credential stuffing 공격은 (패스워드 대입 공격) 금융기관 당 매일 수십만 건에서 수백만 건씩 시도되는 전형적인 공격이에요. 수억 개의 공격 끝에 몇 개는 뚫리기 마련인데 이거 보호하라고 OTP를 켜라고 안내해도 OTP 안 켜는 사람들이 아직은 더 많죠.

소잃고 외양간 고치는 격이지만 추가 피해를 막으려면, 잘 생각해보시고 같은 패스워드를 사용한 다른 금융 기관, 신용 관리 기관들 있으시면 그 패스워드라도 변경하시고요. 폰 OTP, 지문인증 있는 곳은 켜시고요.

Chrome에 내장된 password manager 사용하시면 Chrome에 저장된 패스워드가 black market에서 발견이 되는지 아닌지 쉽게 확인할 수 있으니 그것도 한 번 보시고요.

한국경찰에 신고 하고 있어요. MS Authenticator 로 인증하죠.
코인베인스 코인을 높게 산편이라 아예 쳐다보지 않고 로그인도 안하고 스켐메일이나 피싱문자와도 한번도 응대한적 없어요. 것도 미국핸드폰으로 오니 볼일도 잘 없고.

outlook에서 의심스런 로그인이 있다는 메일을 정크박스에서 발견 했는데 아이피 주소가 코인을 털어갈떄 들어온 아이피주소와 같네요.

여기를 읽어보세요. 2년 전, 님과 같은 경우입니다. 2FA를 켜놓았지만 해킹 당했고, 코인베이스는 모르쇠 하는 경우입니다. 최종 해결이 어떻게 됐는지는 쓰레드에 안 나옵니다.

I am suing Coinbase. Ignored for over 30 days. Lost over $30k with another $100k locked in Coinbase Vaults with no support. Do not trust Coinbase. Take your money out ASAP.
byu/MAC1east inCoinBase

LA Times, NY Times 기자가 취재를 했고요. Facebook 그룹에 비슷한 경우를 가진 사람을 당시 800명 모았다고 했습니다. 클래스 액션 소송도 했고요.

기자 연락처, 법률사무소 전화번호, 이메일도 쓰레드에 있습니다.

어떻게 해킹이 들어왔는지 파악 하셨나요? 폰 사용시? 컴 사용시? 와이파이를 통해서 라든가…