Coinbase Cartel

Coinbase Cartel es un actor centrado en extorsión y que fue visto por primera vez en septiembre de 2025, cuando debutó con los mayores, publicando catorce víctimas de forma simultánea en su web (Data Leak Site - DLS). A diferencia de la mayoría de organizaciones de crimen organizado presentes en la web (operadores de ransomware) el grupo no cifra sistemas: su modelo se basa exclusivamente en el robo de datos y la amenaza de publicación o venta de la información sustraída si no se paga el rescate. De acuerdo con la información disponible, las víctimas disponen de 48 horas para establecer contacto y 10 días para pagar (o negociar) antes de que los datos sean publicados. Según Bitdefender, el grupo se posicionó entre los diez operadores de ransomware más activos en septiembre y diciembre de 2025, habiendo reivindicado más de 175 víctimas confirmadas desde su aparición, incluyendo organizaciones como Grafana Labs, Vimeo, Vercel, Medtronic, Instructure, Wynn Resort y SK Telecom. Huelga decir, por si había dudas, que no guarda relación alguna con el exchange de criptomonedas Coinbase, es bastante probable que fuera una elección para generar tracción en los foros underground.

Investigadores de Intrinsec evalúan con alta confianza que Coinbase Cartel es en realidad un rebranding de una operación de corta duración conocida como DataVault, ya que correlacionaron distintos comportamientos entre una organización y otra. Un usuario identificado bajo el alias "g77" ha sido señalado como el principal promotor de la operación en foros de cibercrimen como Exploit, donde colabora con otros actores para la compra de accesos válidos y malware. Por otra parte, otros análisis provenientes de otras empresas (como FortiGuard Labs) apuntan a que individuos del grupo provienen o tienen relación con Scattered LAPSUS$ Shiny Hunters (SLSH). Esto se debe al nick de "shinysp1d3r", que podría vincular al grupo con este cluster, además de TTPs, infraestructura y patrones de comunicación compartidos entre los grupos.

El grupo no opera bajo el modelo de Ransomware como Servicio (RaaS), sino de forma independiente, aunque mantiene un programa de colaboración abierto a terceros que puedan demostrar su "profesionalidad" a través de compromisos exitosos. De manera similar a otros grupos, ha pedido en foros underground servicios de desarrollo de exploits zero-day con un presupuesto flexible superior a los 2 millones de dólares, lo que indica que no les ha ido mal en su negocio sin cifrado. Su sitio de filtraciones incluye secciones de inicio, subastas, colaboraciones y contacto.

En cuanto a sus TTPs, no hay nada que los diferencie en gran manera de otras organizaciones, el acceso inicial lo han obtenido en diversas ocasiones mediante tres vectores principales: vishing dirigido contra el help desk, abuso de aplicaciones conectadas por OAuth en plataformas como Salesforce o Google Workspace, y robo de credenciales y tokens de desarrollador obtenidos de repositorios públicos, logs de infostealers y mercados de Telegram.

Uno de los incidentes de mayor repercusión atribuidos al grupo ocurrió el 16 de mayo de 2026, cuando Coinbase Cartel se atribuyó el compromiso de Grafana Labs (una empresa que desarrolla herramientas para mejorar la observación de métricas, logs y similares). El ataque se originó mediante el robo de un token de acceso de GitHub con permisos de lectura sobre los repositorios privados de la compañía, lo que permitió a los atacantes descargar el código fuente completo sin necesidad de comprometer servidores de producción ni explotar vulnerabilidades. Grafana Labs decidió no pagar el rescate.

En cuanto a su victimología, el grupo ha atacado a 17 sectores, con especial atención en sanidad, tecnología y transporte, que representaron más del 50% de sus víctimas en 2025. Para algunos fabricantes resultó llamativo que durante un solo mes atacaran a diez organizaciones sanitarias de Emiratos Árabes Unidos, un patrón relativamente inusual que, según investigadores, planteaba interrogantes sobre posibles motivaciones geopolíticas subyacentes más allá del beneficio económico, es bastante probable que encontraran una credencial o vulnerabilidad que les abriera más de una puerta en Emiratos.

Por otra parte y para finalizar, es importante destacar que cuando grupos de este nivel no llevan a cabo cifrado puede deberse principalmente a dos razones independientes. La primera, que decidan por madurez en el "negocio" que no les hace falta para recibir los rescates de la información exfiltrada. La segunda, que no tengan la madurez técnica de otros grupos como para desarrollar su propio cifrador, algo nada fácil. En este segundo campo hay que destacar que para usar los cifradores de otros grupos tienes que, aparte de pagarles su parte del pastel, sacrificar en muchos casos tu propia marca y adherirte como afiliado dentro de su data leak site.