# Coinbase et Amplitude : la fuite vient du prestataire, le risque arrive chez le client

> Coinbase confirme des données clients touchées chez Amplitude. Périmètre connu, mécanisme de risque, chiffres non vérifiés et contrôles pour les intégrations analytics.

Publié le: 2026-11-04  
Canonical: https://rootzero.eu/research/coinbase-amplitude-fuite-donnees-2026/

**Accès non autorisé détecté par Amplitude : 28 septembre 2026. Communication publique : 28 octobre. Analyse rédigée le 4 novembre.** [Amplitude](https://trust.amplitude.com/) dit avoir contenu le 28 septembre un accès non autorisé à une partie de ses systèmes internes. Des données d’événements de moins de **0,3 % de ses comptes clients entreprises** ont été concernées. [Coinbase a indiqué](https://x.com/CoinbaseSupport/status/2115274731310002356) qu’une partie des coordonnées de ses propres clients figurait parmi les données touchées, sans preuve d’accès non autorisé à ses systèmes et sans impact déclaré sur les fonds. Un porte-parole a ensuite précisé à [Unchained](https://unchainedcrypto.com/coinbase-ties-customer-contact-data-exposure-to-vendor-amplitude-says-it-was-not-breached/) que des données de contact et certaines données de transaction limitées avaient été affectées, mais pas les adresses postales.

Le chiffre « 0,3 % » **ne mesure pas** la proportion des utilisateurs Coinbase touchés. Son dénominateur est le nombre de comptes clients d’Amplitude. Coinbase n’a pas publié un nombre de personnes affectées. Le nombre de 70 000 relayé sur les réseaux a été démenti par son porte-parole dans la même réponse à Unchained. Mélanger ces chiffres produirait un faux bilan.

## Le mécanisme : des données utiles qui quittent l’application

Une intégration analytics envoie des événements tels que « connexion », « parcours », « transaction affichée » ou « écran visité » avec les propriétés que son client choisit de transmettre. Selon sa configuration, ces propriétés peuvent contenir un identifiant stable, une adresse électronique ou des détails de contexte. Le fournisseur les stocke et les traite pour produire des analyses. La frontière de sécurité se déplace donc : une donnée saisie dans l’application financière peut exister aussi dans la plateforme d’analyse, avec ses propres comptes, journaux et contrôles d’accès.

Nous **ne connaissons pas** le schéma exact des événements Coinbase envoyés à Amplitude ni la méthode d’entrée de l’attaquant chez ce prestataire. Amplitude ne publie pas de CVE, de compte compromis ou de trajectoire d’exfiltration dans sa [mise à jour client du 28 octobre](https://trust.amplitude.com/). Parler d’une vulnérabilité PHP2Shell comme cause serait faux : Amplitude dit explicitement que l’incident en est indépendant. Il faut traiter le mécanisme ci-dessus comme une explication de la **surface d’exposition analytics**, pas comme le compte rendu forensique de l’intrusion.

## Pourquoi ce type de fuite reste dangereux sans mot de passe volé

Coordonnées et contexte transactionnel peuvent rendre une tentative d’hameçonnage plus convaincante : un message évoque une action récente, un pseudo-conseiller appelle au bon moment, puis demande à la personne de valider une opération ou de communiquer un code. Cette chaîne est un **risque possible**, pas une fraude démontrée dans ce dossier. Coinbase affirme qu’aucune donnée permettant directement l’accès au compte ou aux fonds n’a été exposée dans les informations décrites à la presse. L’absence de clé privée ou de mot de passe ne rend pas une donnée de contact inoffensive, mais il serait également inexact de parler d’un vol de cryptoactifs causé par cet incident.

La formule publique de Coinbase, « Coinbase has not had a data breach », répond à la question du système infiltré. Elle ne retire pas le fait que des données de ses clients détenues par un sous-traitant ont été touchées. Les deux propositions peuvent être vraies : **pas de compromission constatée de l’infrastructure Coinbase ; exposition de données de clients Coinbase chez Amplitude**.

## Comment on aurait pu détecter et limiter l’exposition

Du côté du prestataire, il faut corréler les accès administratifs, les lectures massives et les exports d’événements à leurs justifications métiers. Du côté du client d’Amplitude, la première question est « quelles propriétés envoyons-nous réellement ? ». Un audit peut capturer, sur un environnement de test, les événements transmis par le SDK, comparer leur schéma à la liste autorisée, puis contrôler la rétention, les rôles et les exports possibles dans le compte fournisseur. Il faut aussi pouvoir retrouver rapidement les identifiants des personnes concernées à partir des jeux d’événements, sans supposer que la statistique globale du prestataire fournit cette liste.

La réponse opérationnelle exige une notification ciblée et un canal de vérification indépendant des liens reçus par email. Les organisations peuvent retirer des champs sensibles des événements, utiliser des identifiants pseudonymes lorsque l’analyse le permet et réduire les accès aux données brutes. Ces mesures limitent le dommage d’une compromission ultérieure ; elles ne reconstruisent pas des données déjà copiées. Coinbase dit notifier les clients et autorités concernés. ([Déclaration Coinbase](https://x.com/CoinbaseSupport/status/2115274731310002356), [mise à jour Amplitude](https://trust.amplitude.com/))

L’enseignement du dossier est précis : l’inventaire des données personnelles doit suivre leur **circulation effective** jusqu’aux prestataires d’analyse. Une entreprise peut protéger son cœur transactionnel et rester responsable de l’exposition créée par les copies envoyées ailleurs.

Comparer avec [l’attaque annoncée par Arkéa](/research/arkea-prestataire-virements-frauduleux-2026/) aide à séparer la compromission du prestataire, les opérations qu’il permet et les données qu’il détient. Si des événements analytics alimentent ensuite une base documentaire ou un assistant, les principes de [droits d’accès d’un RAG d’entreprise](/research/rag-entreprise-architecture-droits-evaluation/) s’appliquent à cette copie supplémentaire ; cela ne décrit pas l’architecture utilisée par Coinbase.

**Sources principales :** [mise à jour Amplitude](https://trust.amplitude.com/), [déclaration Coinbase](https://x.com/CoinbaseSupport/status/2115274731310002356), [précisions du porte-parole rapportées par Unchained](https://unchainedcrypto.com/coinbase-ties-customer-contact-data-exposure-to-vendor-amplitude-says-it-was-not-breached/).