Binance und Deribit haben alle API-Schlüssel deaktiviert, die mit SignalPlus verbunden sind, nachdem der Anbieter von Krypto-Derivaten-Infrastruktur einen Cyberangriff offenlegte, bei dem der Computer eines seiner Ingenieure kompromittiert wurde. Beide Börsen erklärten, ihre eigenen Systeme seien nicht betroffen: Binance teilte mit, dass keine Kundengelder verloren gegangen seien, während Deribit keine Anzeichen für eine Kompromittierung seiner Systeme oder Daten fand.

SignalPlus teilte mit, dass der Vorfall in den frühen Morgenstunden des 4. November begann und eine kleine Anzahl von Konten betraf, die kein IP-Whitelisting nutzten. In einer am 5. November auf X geteilten Erklärung sagte das Unternehmen, die Gesamtverluste lägen unter 82.000 US-Dollar und alle betroffenen Nutzer würden vollständig erstattet.

TL;DR: In the early hours of Nov 4, SignalPlus was targeted in an attack that began with a compromised third-party Telegram account, affecting a small number of accounts without IP whitelisting. We detected and contained the intrusion quickly. As a precaution, we immediately worked with our CEX partners to revoke all SignalPlus-linked API keys and temporarily paused our terminal services. Total losses are under US$82k, and all affected users will be reimbursed in full. We expect to bring services fully back online over the next few days. Updates and user instructions will be shared through our official channels.

— SignalPlus (@SignalPlus_Web3) November 5, 2026 (X post)

Binance und Deribit beenden den SignalPlus-Zugang

Das Unternehmen meldete die verdächtige Aktivität an seine Partner unter den zentralisierten Börsen und bat diese, alle API-Schlüssel von SignalPlus auszusetzen. Zudem schaltete es sein Trading-Terminal ab, während eine umfassende Sicherheitsprüfung durchgeführt wurde.

Der koordinierte Widerruf hat den Handel, die Überwachung und die automatisierte Ausführung über SignalPlus für die Dauer der Sperrfrist der Zugangsdaten effektiv blockiert. Terminals dieser Art von Drittanbietern funktionieren, indem sie über API-Zugangsdaten eine Verbindung zu den Börsenkonten der Kunden herstellen – deshalb trennt der Widerruf der Schlüssel auf Börsenebene die Plattform vollständig von diesen Konten.

Binance-CEO Changpeng Zhao empfahl allen über SignalPlus verbundenen Nutzern, auch ihre anderen API-Zugangsdaten zu widerrufen. Separat forderte Binance-Mitgründerin Yi He die mit der Börse integrierten Drittanbieter-Plattformen auf, ihre eigenen Sicherheitsmaßnahmen zu überprüfen und auf ungewöhnliche Aktivitäten zu achten.

We also encourage all third-party platforms integrated with Binance to review their security controls, monitor for unusual activity and contact us immediately if they detect any concern💁🏻‍♀️ This is not a challenge for any single company……

— Yi He (@heyibinance) November 5, 2026 (X post)

Gefälschte Teams-Einladung kompromittierte einen Ingenieur

SignalPlus führte den Angriff auf das Telegram-Konto eines Kontakts bei einem seiner externen Technologieanbieter zurück. Der Angreifer gab sich als dieser Kontakt aus und sendete eine gefälschte Microsoft-Teams-Einladung an einen SignalPlus-Ingenieur. Nach der Infizierung des Computers des Ingenieurs blieb der Eindringling unbemerkt, bis er den Mitarbeiterzugang zum internen Netzwerk des Unternehmens ausnutzen konnte.

Das Unternehmen sagte, es habe die Aktivität erkannt, blockiert und die identifizierten Schwachstellen geschlossen.

IP-Whitelisting wird zum zentralen Schwachpunkt

SignalPlus räumte außerdem ein, dass der Zugriff auf die Börsen-API nicht durch IP-Whitelisting geschützt war – eine Sicherheitsmaßnahme, die einen API-Schlüssel so einschränkt, dass er nur von vorab genehmigten Adressen funktioniert. Ohne eine solche Einschränkung können gestohlene Zugangsdaten von Infrastruktur der Angreifer aus genutzt werden, begrenzt nur durch die im Schlüssel konfigurierten Berechtigungen.

Das Unternehmen sagte, es werde seine API-Zugangsrichtlinien, Endpunktsicherheit, internen Berechtigungen und den Schlüsselmanagement-Zugriff anpassen. Es bekräftigte, dass die Gesamtverluste aus dem Vorfall unter 82.000 US-Dollar liegen und die betroffenen Nutzer vollständig erstattet werden. SignalPlus erwartet, die Dienste in den nächsten Tagen vollständig wieder online zu bringen; Updates und Nutzerhinweise werden über die offiziellen Kanäle mitgeteilt.

Krypto-Firmen erhalten erneut Social-Engineering-Warnung

Der Angriff folgt auf einen separaten Krypto-Diebstahl von 6,3 Milliarden US-Dollar bei Binance am 29. Oktober. Binance teilte später mit, dass dieser Angriff über gehackte Mitarbeitercomputer durchgeführt wurde, darunter ein Ingenieur, der mit einem gefälschten Vorstellungsgespräch ins Visier genommen wurde, und das FBI schrieb ihn einer nordkoreanischen Hackergruppe zu.

Obwohl die beiden Vorfälle unabhängig voneinander auftraten, veranschaulichen beide ein breiteres Muster, bei dem Angreifer Mitarbeiter und vertrauenswürdige Drittanbieter-Beziehungen ins Visier nehmen statt der Börseninfrastruktur selbst.

SignalPlus sagte, die Dienste würden schrittweise zurückkehren, sobald Sicherheitsprüfungen und Patches umgesetzt seien. Während das SignalPlus-Terminal ausgesetzt bleibt, können Nutzer ihre Positionen und offenen Orders weiterhin direkt über die Börsen verwalten.

Quelle: CryptoNinjas