Coinbase menghadapi tuntutan hukum formal di Belanda setelah seorang pelanggan menerbitkan pemberitahuan pada 12 September yang menuntut €170.874,18 atas dugaan pengambilalihan akun dan penarikan dana tanpa izin. Pelanggan tersebut mengklaim bahwa penyerang memperoleh akses pada 27 Januari 2024 melalui pembajakan cookie sesi dan menarik €53.674,95 dalam empat transaksi yang diselesaikan dalam waktu kurang dari dua menit. Coinbase menolak tanggung jawab dalam tanggapan tertanggal 4 Juli 2024. Pemberitahuan tersebut memberi Coinbase waktu 14 hari kalender untuk membayar atau memberikan komitmen pembayaran sebelum pelanggan memerintahkan kuasa hukum litigasi di Belanda untuk menyampaikan surat panggilan gugatan, meskipun belum ada gugatan yang diajukan. Sengketa ini berpusat pada ketentuan Kitab Undang-Undang Hukum Perdata Belanda yang mengatur transaksi pembayaran tanpa izin, yang umumnya mensyaratkan persetujuan pembayar dan mewajibkan penyedia layanan pembayaran mengembalikan dana, kecuali penipuan atau kelalaian berat terbukti.
Pelanggan Menduga Serangan Cookie Sesi pada 27 Januari 2024
Pelanggan tersebut mengatakan bahwa sengketa bermula dari serangan siber pada 27 Januari 2024 terhadap akun Coinbase miliknya. Penyerang diduga memperoleh akses melalui pembajakan cookie sesi dan menyebabkan dana fiat sebesar €53.674,95 ditarik dari Coinbase melalui empat transaksi yang diselesaikan dalam waktu kurang dari dua menit. Pelanggan tersebut mengatakan Coinbase menolak tanggung jawab dalam tanggapan final tertanggal 4 Juli 2024 dan mengaitkan insiden tersebut dengan kredensial pelanggan yang telah disusupi. Tanggapan tersebut belum ditinjau secara independen. Pemberitahuan yang diterbitkan pada 12 September memberi Coinbase waktu 14 hari kalender untuk membayar jumlah yang dituntut atau memberikan komitmen tanpa syarat untuk melakukannya.
Pasal 7:522–7:529 Kitab Undang-Undang Hukum Perdata Belanda Mengatur Transaksi Tanpa Izin
Tuntutan tersebut mengacu pada aturan layanan pembayaran Belanda yang mengatur transaksi tanpa izin. Pasal 7:522 Kitab Undang-Undang Hukum Perdata Belanda umumnya mensyaratkan persetujuan pembayar agar suatu transaksi pembayaran dianggap sah. Pasal 7:527 menambahkan bahwa sekadar tercatatnya penggunaan instrumen pembayaran tidak selalu cukup untuk membuktikan bahwa pelanggan menyetujui suatu transaksi atau bertindak secara curang maupun dengan kelalaian berat. Pasal 7:528 umumnya mewajibkan penyedia layanan pembayaran untuk segera mengembalikan pembayaran tanpa izin setelah mengetahuinya, dengan tunduk pada pengecualian. Pasal 7:529 memungkinkan kerugian dibebankan kepada pelanggan apabila penipuan atau pelanggaran kewajiban keamanan yang disengaja atau dilakukan dengan kelalaian berat terbukti. Sengketa faktual utama tetap berkaitan dengan bagaimana akun Coinbase tersebut disusupi dan apakah tindakan pelanggan memenuhi ambang hukum untuk dikategorikan sebagai kelalaian berat.
Pelanggan Mempermasalahkan Pemantauan Transaksi dan Autentikasi Pelanggan yang Kuat
Pelanggan tersebut mempermasalahkan pemantauan transaksi Coinbase, dengan menduga bahwa platform gagal merespons perubahan geografis yang tiba-tiba serta empat transfer bernilai tinggi yang berlangsung cepat, dan tidak mewajibkan autentikasi pelanggan yang kuat yang terkait dengan transaksi tersebut. Aturan pembayaran Eropa umumnya mewajibkan SCA ketika pembayar memulai pembayaran elektronik, sementara pembayaran jarak jauh memerlukan autentikasi yang terkait dengan jumlah dan penerima pembayaran. Pengecualian tersedia, termasuk untuk transaksi tertentu yang dinilai berisiko rendah. Pelanggan tersebut mengatakan Coinbase sendiri mengidentifikasi pembajakan cookie sesi sebagai bagian dari insiden tersebut. Jika litigasi dimulai, bukti yang berpotensi penting dapat mencakup catatan login, sidik jari perangkat, riwayat token sesi, data IP, peristiwa SCA, catatan otorisasi penarikan, dan peringatan pemantauan penipuan internal yang dihasilkan selama rangkaian transaksi singkat tersebut.
Tuntutan Mencakup Kerugian Portofolio yang Diklaim Sebesar €106.397,02
Pelanggan tersebut menuntut jumlah yang jauh lebih besar daripada €53.674,95 yang diduga ditarik dari akun. Tuntutan tersebut juga mencakup €106.397,02 dalam bentuk keuntungan portofolio yang diklaim hilang, terkait dengan 1,40402148 BTC dan 12.031,26215895 DOGE yang menurut pelanggan dilikuidasi secara paksa. Perhitungan tersebut menggunakan nilai puncak portofolio yang diklaim pada 6 Oktober 2025. Tuntutan tersebut juga mencakup bunga menurut undang-undang sebesar €9.990,91. Perhitungan itu dapat dipersengketakan karena surat tersebut menerapkan suku bunga tetap 7% dari Januari 2024 hingga September 2026, sementara bunga menurut undang-undang bagi konsumen di Belanda berubah selama periode tersebut. Coinbase dapat memberikan tanggapan selama periode 14 hari, mempersengketakan perhitungan ganti rugi, mempermasalahkan entitas yang berlaku, atau mempertahankan penolakan sebelumnya.
FAQ
Apa yang dituntut pelanggan Coinbase pada 12 September?
Pelanggan tersebut menerbitkan pemberitahuan formal yang menuntut €170.874,18 dari Coinbase atas dugaan pengambilalihan akun pada 27 Januari 2024. Pemberitahuan tersebut memberi Coinbase waktu 14 hari kalender untuk membayar atau memberikan komitmen pembayaran sebelum pelanggan memerintahkan kuasa hukum litigasi di Belanda untuk menyampaikan surat panggilan gugatan.
Berapa jumlah yang diduga diambil dari akun Coinbase pada 27 Januari 2024?
Pelanggan tersebut mengklaim bahwa €53.674,95 dalam bentuk dana fiat ditarik dari Coinbase melalui empat transaksi yang diselesaikan dalam waktu kurang dari dua menit melalui pembajakan cookie sesi. Total tuntutan sebesar €170.874,18 juga mencakup €106.397,02 dalam bentuk keuntungan portofolio yang diklaim hilang atas 1,40402148 BTC dan 12.031,26215895 DOGE, serta €9.990,91 dalam bentuk bunga menurut undang-undang.
Pasal Kitab Undang-Undang Hukum Perdata Belanda mana yang mengatur transaksi pembayaran tanpa izin?
Pasal 7:522 umumnya mensyaratkan persetujuan pembayar agar transaksi dianggap sah. Pasal 7:527 menyatakan bahwa pencatatan penggunaan instrumen pembayaran saja tidak membuktikan persetujuan pelanggan atau kelalaian berat. Pasal 7:528 mewajibkan penyedia layanan pembayaran untuk segera mengembalikan pembayaran tanpa izin. Pasal 7:529 memungkinkan kerugian dibebankan kepada pelanggan apabila penipuan atau pelanggaran kewajiban keamanan yang dilakukan dengan kelalaian berat terbukti.
