Binance e Deribit revocano le API key di SignalPlus dopo una violazione della sicurezza
Punti chiave
- •Binance e Deribit hanno revocato le chiavi API collegate a SignalPlus come precauzione dopo la violazione della sicurezza resa nota dalla piattaforma, dichiarando che i propri sistemi non sono stati interessati.
- •L'intrusione è iniziata quando un attaccante ha utilizzato un account Telegram compromesso per impersonare un contatto di un fornitore di terze parti e ha preso di mira un ingegnere di SignalPlus con un falso invito a una riunione Microsoft Teams.
- •Dopo essere rimasto dormiente sul computer del dipendente, l'intruso ha utilizzato i privilegi di accesso dell'ingegnere per raggiungere la rete interna di SignalPlus nella mattinata di mercoledì, e l'azienda ha successivamente rilevato e contenuto l'intrusione con perdite totali inferiori a 82.000 dollari.
- •SignalPlus ha ammesso di non aver richiesto l'IP whitelisting per l'accesso API agli exchange, si è assunta la responsabilità della svista e si è impegnata a irrobustire i requisiti di accesso API e rafforzare i controlli di sicurezza interni.
- •L'incidente di SignalPlus è seguito alla divulgazione da parte di Binance di un attacco informatico da 6,3 miliardi di dollari iniziato anch'esso con un computer di un dipendente compromesso, e il co-fondatore di Binance Yi He ha dichiarato che l'exchange ha bloccato 57 minacce informatiche sospettate di essere collegate alla Corea del Nord nel 2026.
Gli exchange Binance e Deribit hanno dichiarato giovedì di aver revocato le chiavi API collegate a SignalPlus, piattaforma di trading di derivati crypto, come precauzione dopo che l'azienda aveva reso nota una violazione della sicurezza. Entrambi gli exchange hanno affermato che i propri sistemi non sono stati interessati, anche se Deribit ha avvertito che le funzioni di trading, monitoraggio e automazione passanti per SignalPlus avevano smesso di funzionare per i propri clienti. Le chiavi API degli exchange consentono alle piattaforme di terze parti di eseguire operazioni e monitorare gli account per conto dell'utente, motivo per cui la loro revoca interrompe questi flussi di lavoro anche quando l'exchange stesso non mostra segni di compromissione.
Il co-fondatore di Binance Yi He ha dichiarato in un post su X che le piattaforme di terze parti integrate con l'exchange dovrebbero rivedere i propri controlli di sicurezza e monitorare attività sospette, avvertendo che la minaccia si estendeva oltre ogni singola azienda.
SignalPlus fornisce infrastrutture di trading per derivati crypto, con particolare attenzione alle opzioni, consentendo ai trader professionali e istituzionali di gestire posizioni su più exchange attraverso un'unica piattaforma.
Secondo una dichiarazione pubblicata dall'azienda su X, l'attacco ha avuto origine da un account Telegram compromesso appartenente a un contatto presso un fornitore tecnologico di terze parti. L'attaccante si è spacciato per il contatto e ha inviato a un ingegnere di SignalPlus un invito a una falso riunione Microsoft Teams, compromettendo il computer del dipendente.
L'intruso è poi rimasto dormiente sul computer compromesso prima di utilizzare i privilegi di accesso dell'ingegnere per colpire la rete interna di SignalPlus nella mattinata di mercoledì, ha dichiarato l'azienda.
SignalPlus ha dichiarato di aver rilevato e contenuto l'intrusione, quantificando le perdite totali in meno di 82.000 dollari, e ha iniziato a rimborsare integralmente gli utenti coinvolti. L'azienda ha temporaneamente sospeso i propri servizi e prevede di ripristinare le operazioni nei prossimi giorni, dopo aver completato le revisioni di sicurezza e applicato le patch — una tempistica che determina quando i clienti riacquisteranno le funzioni di trading, monitoraggio e automazione messe offline.
SignalPlus ha inoltre ammesso di non aver richiesto l'IP whitelisting per l'accesso API agli exchange. "Ci assumiamo la responsabilità di questa svista", ha dichiarato l'azienda, aggiungendo che would irrobustire i requisiti di accesso API e rafforzare i controlli di sicurezza interni. L'IP whitelisting è una misura di sicurezza che limita l'accesso API a un elenco predefinito di indirizzi internet approvati.
L'attacco a SignalPlus segue l'hack da 6,3 miliardi di dollari a Binance
L'incidente di SignalPlus arriva pochi giorni dopo che Binance ha reso noti i dettagli di un attacco informatico da 6,3 miliardi di dollari il 29 ottobre, che ha coinvolto anch'esso computer di dipendenti compromessi. Secondo la postmortem di Binance, attaccanti spacciantisi per recruiter hanno indotto un ingegnere a scaricare un file dannoso travestito da esercizio di programmazione. Gli attaccanti hanno quindi utilizzato il computer compromesso per accedere ad altri sistemi e infine violare l'infrastruttura di portafogli dell'exchange. Prese insieme, le due violazioni condividono una stessa mossa iniziale: un attaccante che si spaccia per un contatto fidato o un recruiter per compromettere la macchina di un singolo dipendente, per poi usare quel punto d'appoggio per penetrare più a fondo nei sistemi aziendali.
Il co-fondatore di Binance Yi He ha detto martedì su X che l'exchange ha rilevato e prevenuto 57 minacce informatiche sospettate di essere collegate alla Corea del Nord nel 2026, tra cui colloqui di lavoro fraudolenti, pacchetti software dannosi e tentativi di rubare le credenziali dei dipendenti.
Fonte: Cointelegraph
