Los exchanges Binance y Deribit dijeron el jueves que revocaron las claves API conectadas a SignalPlus, una plataforma de trading de derivados de criptomonedas, como medida de precaución tras la revelación de una brecha de seguridad en la empresa. Ambos exchanges indicaron que sus propios sistemas no resultaron afectados, aunque Deribit advirtió que las funciones de trading, monitoreo y automatización que pasan por SignalPlus dejaron de funcionar para sus clientes. Las claves API de un exchange permiten a plataformas de terceros ejecutar operaciones y monitorear cuentas en nombre de un usuario, razón por la cual revocarlas corta esos flujos de trabajo incluso cuando el propio exchange no muestra señales de compromiso.

Yi He, cofundadora de Binance, dijo en una publicación en X que las plataformas de terceros integradas con el exchange deberían revisar sus controles de seguridad y monitorear actividades sospechosas, advirtiendo que la amenaza trasciende a una sola empresa.

SignalPlus proporciona infraestructura de trading para derivados de criptomonedas, con especial enfoque en opciones, lo que permite a traders profesionales e institucionales gestionar posiciones en múltiples exchanges a través de una sola plataforma.

Según un comunicado publicado por la empresa en X, el ataque se originó en una cuenta de Telegram comprometida perteneciente a un contacto de un proveedor tecnológico externo. El atacante se hizo pasar por el contacto y envió a un ingeniero de SignalPlus una invitación falsa a una reunión de Microsoft Teams, comprometiendo la computadora del empleado.

El intruso permaneció latente en la computadora comprometida antes de utilizar los privilegios de acceso del ingeniero para atacar la red interna de SignalPlus la madrugada del miércoles, según informó la empresa.

SignalPlus dijo que detectó y contuvo la intrusión, con pérdidas totales inferiores a 82.000 dólares, y ya comenzó a reembolsar íntegramente a los usuarios afectados. La empresa suspendió temporalmente sus servicios y espera reanudar las operaciones en los próximos días, tras completar revisiones de seguridad y aplicar parches, un calendario que determinará cuándo los clientes recuperarán las funciones de trading, monitoreo y automatización que quedaron fuera de servicio.

SignalPlus también reconoció que no había exigido listas blancas de IP para el acceso API a los exchanges. "Asumimos la responsabilidad de este descuido", dijo la empresa, agregando que endurecerá los requisitos de acceso API y reforzará sus controles internos de seguridad. La lista blanca de IP es una medida de seguridad que restringe el acceso a la API a una lista predefinida de direcciones de internet aprobadas.

Relacionado: Fundador de BitMart dice que el equipo de seguridad estaba 'muy escaso de personal' tras un nuevo hackeo

El ataque a SignalPlus sigue al hackeo de 6.300 millones de dólares en Binance

El incidente de SignalPlus se produce días después de que Binance revelara detalles de un hackeo de 6.300 millones de dólares el 29 de octubre, que también involucró computadoras de empleados comprometidas. Según el informe post-mortem de Binance, atacantes que se hicieron pasar por reclutadores engañaron a un ingeniero para que descargara un archivo malicioso disfrazado de una tarea de programación. Los atacantes usaron luego la computadora comprometida para acceder a sistemas adicionales y finalmente vulnerar la infraestructura de billeteras del exchange. En conjunto, ambas brechas comparten un mismo punto de partida: un atacante que se hace pasar por un contacto o reclutador de confianza para comprometer la máquina de un solo empleado y luego usa ese punto de apoyo para penetrar más profundamente en los sistemas de la empresa.

Yi He, cofundadora de Binance, dijo el martes en X que el exchange detectó y previno 57 ciberamenazas sospechosas vinculadas a Corea del Norte en 2026, incluidas entrevistas de trabajo fraudulentas, paquetes de software malicioso e intentos de robar credenciales de empleados.

Fuente: Cointelegraph