Coinbase Cartel ist eine seit September 2025 aktive Erpressergruppe, die bewusst auf Verschlüsselung verzichtet. Die Angreifer verschaffen sich Zugang zu Unternehmensnetzen und Cloud-Umgebungen, ziehen große Mengen sensibler Daten ab und drohen anschließend mit der Veröffentlichung oder Versteigerung auf einer eigenen Tor-Leak-Site. Der Betrieb der Opfer läuft dabei ungestört weiter – was den Angriff gefährlich unauffällig macht: Es gibt keinen Ausfall, keine Erpressernotiz auf dem Bildschirm, oft wochenlang kein einziges Warnsignal.
Der Einstieg erfolgt überwiegend über gestohlene Zugangsdaten aus Infostealer-Infektionen und über Initial Access Broker, ergänzt um Social Engineering gegen Support- und Helpdesk-Prozesse. Bis Anfang August 2026 listet die Gruppe 187 Opfer in 34 Ländern, darunter mehrere bekannte deutsche Unternehmen. Der selbstgewählte Gruppenname ist eine Anspielung der Täter und sagt nichts über eine Beteiligung des gleichnamigen Börsenunternehmens aus.
Aktiv
Reine Datenerpressung (Exfiltration-only) mit eigener Tor-Leak-Site inklusive Auktionsbereich; kein Affiliate-Programm im klassischen RaaS-Sinn, stattdessen gezielte Anwerbung von Spezialisten.
CoinbaseCartel
September 2025
Analysten ordnen die Gruppe dem englischsprachigen Cybercrime-Umfeld um ShinyHunters, Scattered Spider und Lapsus$ („Scattered Lapsus$ Hunters“) zu. Die Zuordnung ist plausibel begründet, aber nicht abschließend belegt.
Nicht eindeutig zugeordnet; englischsprachiges Cybercrime-Umfeld
Gesundheitswesen, Technologie, Transport und Logistik (zusammen über die Hälfte der Opfer), zusätzlich Finanzdienstleistungen, Telekommunikation, Handel und E-Commerce, Industrie und professionelle Dienstleistungen.
34 Länder (Stand: August 2026), Schwerpunkt USA. In der DACH-Region sind mehrere deutsche Unternehmen gelistet; auffällig war zudem eine Häufung von Angriffen auf Gesundheitsorganisationen in den Vereinigten Arabischen Emiraten.
Nicht öffentlich beziffert. Zahlung wird in Bitcoin verlangt; die Opfer erhalten typischerweise 48 Stunden für die erste Kontaktaufnahme und rund 10 Tage bis zur Zahlung oder Einigung.
187 gelistete Opfer in 34 Ländern (Stand: 3. August 2026), darunter rund 15 in der DACH-Region
keine – die Gruppe verschlüsselt keine Dateien
keine klassische Erpressernotiz auf den Systemen; die Kontaktaufnahme erfolgt per E-Mail an Führungskräfte und über ein Tor-Chatportal
Coinbase Cartel setzt keinen eigenen Verschlüsseler ein – es existiert schlicht keine Ransomware-Familie, die man erkennen könnte. Das ist der Kern des Problems: Der Angriff besteht aus legitimen Anmeldungen, legitimen Dateizugriffen und legitimen Uploads. Verwendet werden gestohlene, gültige Zugangsdaten, Standard-Cloud-Werkzeuge und gängige Übertragungswege; klassische Virenerkennung findet dabei nichts.
Die Erpressungsinfrastruktur ist professionell aufgesetzt: eine Tor-Leak-Site mit Bereichen für Opferlisten, Auktionen, „Partnerschaften“ und Kontakt, dazu ein Chatportal für Verhandlungen. Die Gruppe wirbt in einschlägigen Foren offen um Spezialisten und hat nach eigener Darstellung ein erhebliches Budget für den Zukauf von Schwachstellen ausgelobt – solche Selbstdarstellungen sind allerdings mit Vorsicht zu behandeln.
Gegen eine Gruppe, die keine Systeme verschlüsselt, hilft nur, den Datenabfluss selbst zu bemerken. Das Cyber Defense Center von Argos Security überwacht Ihre Umgebung rund um die Uhr (24/7) und ist gezielt auf genau diese Muster ausgelegt: Anmeldungen mit geleakten Zugangsdaten, untypische Zugriffe auf Datei- und Cloud-Speicher, Massen-Downloads und ungewöhnliche Ausleitungen. Über unsere Threat Intelligence beobachten wir Leak-Sites und Infostealer-Quellen und melden es, wenn Zugangsdaten Ihres Unternehmens dort auftauchen. Kommt es zum Vorfall, ermittelt unser Incident-Response-Team kurzfristig den tatsächlichen Umfang des Datenabflusses – die Grundlage für jede Meldung an Aufsichtsbehörden und für die Kommunikation mit Kunden und Partnern.