Binance und Deribit widerrufen SignalPlus-API-Schlüssel nach Sicherheitsvorfall
Wichtige Erkenntnisse
- •Binance und Deribit haben vorsorglich API-Schlüssel widerrufen, die mit SignalPlus verbunden sind, nachdem die Plattform einen Sicherheitsvorfall offengelegt hatte, und erklärten, ihre eigenen Systeme seien nicht betroffen.
- •Der Angriff begann, als ein Angreifer ein kompromittiertes Telegram-Konto nutzte, um einen Lieferantenkontakt zu imitieren, und einen SignalPlus-Mitarbeiter mit einer gefälschten Microsoft-Teams-Meeting-Einladung ins Visier nahm.
- •Nach einer Phase der Inaktivität auf dem Computer des Mitarbeiters nutzte der Eindringling dessen Zugriffsrechte, um früh am Mittwoch auf das interne Netzwerk von SignalPlus zuzugreifen; das Unternehmen erkannte und dämmte den Angriff später ein, mit Gesamtverlusten unter 82.000 US-Dollar.
- •SignalPlus räumte ein, kein IP-Whitelisting für den Börsen-API-Zugriff verlangt zu haben, übernahm die Verantwortung für das Versäumnis und kündigte an, die API-Zugriffsanforderungen zu verschärfen und die internen Sicherheitskontrollen zu stärken.
- •Dem SignalPlus-Vorfall ging Binances Offenlegung eines Hacks im Wert von 6,3 Milliarden US-Dollar voraus, der ebenfalls mit einem kompromittierten Mitarbeitercomputer begann; die Binance-Mitgründerin Yi He erklärte, die Börse habe 2026 57 mutmaßliche mit Nordkorea in Verbindung gebrachte Cyber-Bedrohungen blockiert.
Die Krypto-Börsen Binance und Deribit erklärten am Donnerstag, sie hätten vorsorglich API-Schlüssel widerrufen, die mit SignalPlus verbunden sind, einer Handelsplattform für Krypto-Derivate, nachdem das Unternehmen einen Sicherheitsvorfall offengelegt hatte. Beide Börsen erklärten, ihre eigenen Systeme seien nicht betroffen, wobei Deribit jedoch warnte, dass Handels-, Überwachungs- und Automatisierungsfunktionen über SignalPlus für ihre Kunden nicht mehr funktionierten. Börsen-API-Schlüssel ermöglichen Drittanbieter-Plattformen, im Namen eines Nutzers Trades auszuführen und Konten zu überwachen – daher brechen die Widerrufe dieser Workflows ab, selbst wenn die Börse selbst keine Anzeichen einer Kompromittierung aufweist.
Die Binance-Mitgründerin Yi He sagte in einem Beitrag auf X, dass Drittanbieter-Plattformen, die in die Börse integriert sind, ihre Sicherheitskontrollen überprüfen und auf verdächtige Aktivitäten achten sollten, und warnte, dass die Bedrohung über ein einzelnes Unternehmen hinausgehe.
SignalPlus stellt Handelsinfrastruktur für Krypto-Derivate bereit, mit besonderem Fokus auf Optionen, und ermöglicht professionellen und institutionellen Händlern, Positionen über mehrere Börsen hinweg auf einer einzigen Plattform zu verwalten.
Nach einer Erklärung des Unternehmens auf X ging der Angriff von einem kompromittierten Telegram-Konto eines Kontakts bei einem externen Technologieanbieter aus. Der Angreifer gab sich als dieser Kontakt aus und sendete einem SignalPlus-Mitarbeiter eine gefälschte Microsoft-Teams-Meeting-Einladung, wodurch der Computer des Mitarbeiters kompromittiert wurde.
Der Eindringling blieb anschließend auf dem kompromittierten Computer inaktiv, bevor er die Zugriffsrechte des Mitarbeiters nutzte, um früh am Mittwoch das interne Netzwerk von SignalPlus anzugreifen, wie das Unternehmen mitteilte.
SignalPlus erklärte, der Angriff sei erkannt und eingedämmt worden, wobei die Gesamtverluste unter 82.000 US-Dollar lägen, und man habe begonnen, betroffene Nutzer vollständig zu entschädigen. Das Unternehmen hat seine Dienste vorübergehend ausgesetzt und erwartet, den Betrieb in den nächsten Tagen nach Abschluss der Sicherheitsüberprüfungen und dem Einspielen von Patches wiederherzustellen – ein Zeitplan, der bestimmt, wann Kunden die Handels-, Überwachungs- und Automatisierungsfunktionen zurück erhalten, die ausgefallen waren.
SignalPlus räumte außerdem ein, dass keine IP-Whitelisting-Anforderung für den Börsen-API-Zugriff bestanden hatte. „Wir übernehmen die Verantwortung für dieses Versäumnis“, erklärte das Unternehmen und fügte hinzu, dass man die API-Zugriffsanforderungen verschärfen und die internen Sicherheitskontrollen stärken werde. IP-Whitelisting ist eine Sicherheitsmaßnahme, die den API-Zugriff auf eine vordefinierte Liste genehmigter Internetadressen beschränkt.
Verwandt: BitMart-Gründer sagt, Sicherheitsteam sei nach neuem Hack „personell massiv unterbesetzt“
SignalPlus-Angriff folgt auf 6,3-Milliarden-Dollar-Hack bei Binance
Der SignalPlus-Vorfall ereignete sich nur wenige Tage, nachdem Binance Details zu einem Hack im Wert von 6,3 Milliarden US-Dollar am 29. Oktober offengelegt hatte, der ebenfalls die Kompromittierung von Mitarbeitercomputern beinhaltete. Laut Binances Postmortem tricksten Angreifer, die als Recruiter auftraten, einen Mitarbeiter dazu, eine bösartige Datei herunterzuladen, die als Programmieraufgabe getarnt war. Die Angreifer nutzten anschließend den kompromittierten Computer, um Zugang zu weiteren Systemen zu erhalten und schließlich die Wallet-Infrastruktur der Börse anzugreifen. Beide Vorfälle teilen denselben Einstiegsmechanismus: Ein Angreifer gibt einen vertrauenswürdigen Kontakt oder Recruiter imitiert, um den Rechner eines einzelnen Mitarbeiters zu kompromittieren, und nutzt diesen Vorsprung, um tiefer in die Unternehmenssysteme einzudringen.
Die Binance-Mitgründerin Yi He sagte am Dienstag auf X, die Börse habe 2026 57 mutmaßliche mit Nordkorea in Verbindung gebrachte Cyber-Bedrohungen erkannt und verhindert, darunter betrügerische Vorstellungsgespräche, bösartige Softwarepakete und Versuche, Mitarbeiter-Zugangsdaten zu stehlen.
Quelle: Cointelegraph
