3Commas CEO bekræfter API-nøglelæk efter advarsel fra CZ

Binance CEO Changpeng Zhao (CZ) advarede den 8. december sine 28 millioner Twitter-følgere om, at han er "rimelig sikker på", at API-nøglelækager finder sted på cryptocurrency-handelsadministrationsplatformen.

Jeg er rimelig sikker på, at der er udbredte API-nøgler fra 3Commas. Hvis du nogensinde har sat en API-nøgle i 3Commas (fra en hvilken som helst børs), skal du deaktivere den med det samme.
Ophold #SAFU.
- CZ Binance (@cz_binance) 28. December, 2022

Afsløringen af CZ fulgte efter en hændelse den 9. december, hvor Binance annulleret en brugers konto der klagede over at miste penge en dag tidligere. Denne bruger hævdede, at en lækket API-nøgle knyttet til 3Commas blev brugt "til at handle med mønter med lavt niveau for at presse prisen op for at tjene penge." Binance afviste at refundere brugeren. CZ tweetede, at tabet ikke kunne verificeres, og hvis virksomheden kompenserede for sådanne tab, "betaler vi bare for, at brugere mister deres API-nøgler."

Mamba, der er næsten ingen måde for os at være sikre på, at brugerne ikke stjal deres egne API-nøgler. Handlerne blev udført ved hjælp af API-nøgler, du oprettede. Ellers vil vi bare betale for, at brugere mister deres API-nøgler. Håber du forstår.
- CZ Binance (@cz_binance) 9. December, 2022

Den 11. december, 3Commas CEO Yuriy Sorokin hævdet på firmaets blog at der cirkulerede falske skærmbilleder på Twitter og YouTube, der foregav at vise, at virksomheden havde slap sikkerhed, og at medarbejderne stjal API-nøgler. Sorokin benægtede anklagerne i en dybdegående teknisk analyse af billederne:

"Personen, der lavede skærmbillederne, gjorde et godt stykke arbejde med en HTML-editor, men de lavede et par vigtige fejl, der nemt beviser, at deres påstande er falske. Vi vil gennemgå dem punkt for punkt."

Sikkerhedsproblemer opstod først ved 3Commas i slutningen af oktober. På det tidspunkt, den stadig-funktionelle FTX-børsen udstedte en sikkerhedsadvarsel som svar på rapporter fra brugere om uautoriserede handler af handelspar med DMG-mønten på FTX. 3Commas og FTX fastslog, at hackere havde oprettet 3Commas-konti for at udføre handlerne. Men ifølge 3Commas-bloggen blev "API-nøglerne ikke taget fra 3Commas, men fra uden for 3Commas-platformen."

Relateret: Hvordan Binance beskytter sine brugere med ansvarligt handelsprogram

I et efterfølgende blogindlæg erkendte Sorokin, at "vi har hårde beviser for, at phishing i det mindste til dels var en medvirkende faktor" i brugertab.

I mellemtiden har en Twitter-bruger påstået, at alle 3Commas' API-nøgler er blevet lækket.

PSA
3Commas API-læk er blevet offentliggjort, hvis du ikke allerede har FJERNET DIN API NØGLE pic.twitter.com/yEvrxyWBIq
- db (@ tier10k) 28. December, 2022

Nu har Sorokin bekræftet lækagen og tilføjer, at der ikke blev fundet beviser for, at lækagen var et internt job.

1. Udtalelse fra 3Commas:
Vi så hackerens besked og kan bekræfte, at dataene i filerne er sande. Som en øjeblikkelig handling har vi bedt Binance, Kucoin og andre understøttede børser tilbagekalde alle de nøgler, der var forbundet til 3Commas.
— Yuriy Sorokin (@YS_3Commas) 28. December, 2022