Coinbase Cartel

正体と来歴

Coinbase Cartel（別名 CoinbaseCartel、shinysp1d3r）は、2025年9月15日に新設の Tor 上リークサイトへ10件近い掲載を同時に投稿して活動を始めた、データ窃取型の恐喝グループである [s4][s1]。shinysp1d3r は開発中の VMware ESXi 向け暗号化ツールの名称で、実際の攻撃では観測されていない [s4]。正規の Coinbase とは無関係である [s4]。Halcyon は、ShinyHunters、Scattered Spider、Lapsus$ から成る SLSH の分派と評価した。根拠は共有ドメイン affiliateshinysp1d3r[.]com と TTP の重複である [s4]。Bitdefender は、2025年10月に複数社が ShinyHunters 派生説を示したものの、連絡先やインフラ以上の関係は検証されていないとした [s6]。RaaS ではなく [s6]、追跡サービスの RaaS タグは未公開ツールに紐づく [s4]。

手口

主な侵入口は、RedLine、Lumma、Vidar などのインフォスティーラーのログから得たログイン情報で、クラウド、FTP、ファイル転送サービスに入る（T1078）[s4][s7]。Hudson Rock は被害164件の80%に過去の感染があったとした [s7]。ほかに内部関係者や委託先の勧誘がある [s4]。侵入後はログを改ざんし（T1070）、Salesforce Data Loader を模した Python スクリプトで持ち出す（T1567。ShinyHunters 関連に基づく推定）[s4]。OAuth トークンの窃取（T1528）で長期アクセスを保つ [s4]。暗号化はせず、単一の恐喝である [s4]。被害組織には48時間以内の応答と10日間の猶予が与えられ、支払いは BTC である [s4][s6]。リークサイトには AUCTIONS ページがあり、2025年10月にはゼロデイ購入予算として200万ドル超を提示した [s4][s6]。

連絡手段とリークサイト

RansomLook の記録では、連絡手段は Tox、Session、メールである。Tox: 58041B45371485934F798C77F2F9705DA735F28AC9EBA2A19B4C9DBAF462802B88E33CEF482A、Session: 056999a0f3681d5deddb6243e9387c9b9a310f1bacc2a4faa1b9085a867887fb22、メール: coinbasecartel@atomicmail[.]io、SimpleX: hxxps://smp18[.]simplex[.]im/a#gT8HD-rIsXs92qKGxvMC9Luup_jenLr83pkpfLVHF4E [s1]。Halcyon は別の Tox ID 1225DDE01980D7C7890A90E359EF4406D74DF7DB94F6C5F3B8378BB78444473022675C49FACB を挙げる [s4]。リークサイトとミラーはいずれも停止中で、fjg4zi4opkxkvdz7mvwp7h6goe4tcby3hhkrz43pht4j3vakhy75znyd[.]onion（DLS）、ミラーは vkhztfqsjbh2in6425uvomeutn3oc4eos4264oexk57zdmntt2hoidid[.]onion、c7izex5h5shupbutwzsj73yputkqudfm7pvurawov7ciig6nkwssclad[.]onion、c5oxtg26apmuh3omkhuto22jy37rsgfifbvblvog7ur6d2rbhx7emxqd[.]onion、pa4wtlap543g2gx34nphm5lcsrwwl3wwj6nb7omwqlrj3pruf4zuufyd[.]onion、rfqsuxf2c3epm7tcxtqrsfaol3kpqe2omxfdls4lbg54ntsaazidgqid[.]onion、won2bghjatxaavvf7eoepuwj74pej764mys575xan2h2uoctxnuojyyd[.]onion、5uvjhrqzsyyg4cku6uofsu7swmkqwit3na6plsaath4g3mgikievdead[.]onion、otlnqz4lzee2xpnyy7vx6mwj6nonwgdloxeykwxulvgjwc5wzfacrzid[.]onion、uzzgphpytgr7zpb6sudyf7ryds5g3cibrhwabwpf3sd7yjkv45b7uuad[.]onion、chk4gwd4yku5jmhrqvqv4t52dwhccmi5e4ssomqreirl5wbosqdnb3qd[.]onion、iu6t4jcin7iexrdcgyspal6rsafyu4mw4tkdvugx4nmioxs7mbifdzad[.]onion [s1]。

標的と主な被害

主張された標的は米国が全体の3分の1から半数を占め、アラブ首長国連邦、ドイツ、フランス、ブラジルが続く [s4]。業種はテクノロジーが最多で、ビジネスサービス、製造などが続く [s4]。2025年は医療、テクノロジー、運輸で被害の50%超を占め、医療はUAEの組織が中心だった [s6]。2026年3月にはバイオテクノロジーとゲノミクス企業がまとめて掲載された [s4]。掲載件数は集計元により160件超と25件程度に分かれ、少なくとも2件は組織の否定で取り下げられた [s4]。

動向

2025年9月と12月には Bitdefender の上位10グループに入り、年末までに60件超を掲載した [s6][s4]。Halcyon によれば、新規掲載は2026年4月まで続いた後に鈍り、活動は前四半期比で54%減少し、休眠に向かっている [s4][s5]。一方、日経NETWORK 2026年7月号は「攻撃が活発に」と題して取り上げた [s3]。