Binanceは潜在的なセキュリティ問題を受けて、サードパーティ取引プラットフォームSignalPlusに紐づくすべてのAPIキーを失効させました。暗号資産取引所が不正な取引を防ぐ動きの中で、顧客アカウントへの自動アクセスが遮断される形となりました。

11月5日に実施されたこの予防措置は、暗号資産オプションおよびデリバティブ市場向けの取引ツールを提供するSignalPlusに関するセキュリティ警告に続くものです。暗号資産デリバティブ取引所のDeribitも、自社のリスクを確認したうえで、同プラットフォームに関連するAPI認証情報を削除しました。ひとつのベンダーに関する警告が複数の取引場所に同時に波及しうることを示す、並行した対応です。

Binanceは自社システムに影響がなく顧客資産も安全であることを確認しました。Deribitもまた、Xに投稿した声明によると、自社のインフラや顧客データが侵害された証拠はないと報告しています。

SignalPlusの潜在的なセキュリティ問題の性質は依然として明らかにされていません。この警告に関連して、確定した金銭的損失や顧客の不正取引は報告されていません。

Binance、SignalPlusのアクセスを遮断しユーザーにアカウント確認を呼びかけ

SignalPlusは、暗号資産投資家が取引所のAPI接続を通じてポジション管理、戦略の実行、デリバティブ市場へのアクセスを行える取引インフラを提供しています。これらの認証情報により、外部アプリケーションはユーザーが取引ごとに取引所へログインすることなく、取引アカウントとやり取りできます。APIキーは権限設定に応じて、注文発注、アカウント監視、その他の取引操作を許可できます。この仕組みこそが、自動売買トレーダーにとって今回の件が注目される理由でもあります。サードパーティツールが有効な取引認証情報を保有している場合、ベンダー側のセキュリティ懸念によって取引所が即座にアクセスを遮断し、それらの接続に依存する戦略が中断される可能性があるためです。

Binanceの決定により、既存のSignalPlus接続は即時に無効化され、サードパーティプラットフォームがこれらの認証情報を使って追加の指示を送信することはできなくなりました。ただし、APIキーの失効はポジションの自動決済や取引所上の既存注文のキャンセルを自動的に行うものではありません。

Binanceは影響を受けた顧客に対し、直接ログインして未約定注文、ポジション、最近のアカウント活動を確認するよう指示しました。また、SignalPlusがセキュリティ問題の完全解決を確認できるまで、代替API接続を作成しないよう推奨しています。

Binanceの創設者Changpeng Zhaoは警告を拡大し、他の暗号資産取引所のユーザーに対しても、SignalPlusを接続しているすべての場所で関連APIキーを失効させるようトレーダーに勧めました。Zhaoはまた、取引所のAPI認証情報をサードパーティプロバイダーに預けることへの懸念を示し、外部プラットフォームに取引権限を委ねるリスクを強調しました。このメッセージにより、ひとつの取引所の予防措置が事実上、同プラットフォームを利用するすべての人への業界全体の勧告となりました。

Binanceは、APIアクセスを承認済みネットワークアドレスに制限するIPホワイトリストの有効化をユーザーに勧め、連携パートナーには不審な活動がないかセキュリティ管理を見直すよう要請しました。Deribitも同様のアカウントセキュリティに関する推奨事項を維持しており、IP制限、限定されたAPI権限、追加の認証保護など、認証情報が悪用された場合に単一の認証情報でできることを制限することを目的とした管理措置が含まれています。

セキュリティ警告、Binanceの63億ドル規模の侵入から1週間後に

この予防措置は、米国当局が北朝鮮のTraderTraitorハッキング作戦の犯行とした、10月29日のBinanceによる63億ドル規模の暗号資産窃取から1週間後に実施されました。この事件では、従業員のデバイスの侵害、認証情報の盗難、内部ウォレットインフラへの不正アクセスが関与していました。

Binanceはその後、影響を受けた資産の約98%を補填し、ブロックチェーンパートナーと協力して盗まれた暗号資産の約28.5億ドルの凍結または捕捉に取り組みました。SignalPlusの警告と先の取引所侵入を結びつける証拠はありません。

最新の措置は、他の暗号資産プラットフォームとその外部サービスプロバイダーに関する最近のセキュリティ事故にも続くものです。11月2日にはTrade.xyzが侵害されたGitBookドキュメントを復旧させ、それより前にはPolymarketへの攻撃がサードパーティ監視サービスを通じて配布された悪意あるコードを悪用していました。これらの事例とは異なり、SignalPlusの警告は確定した資金損失、取引インフラの侵害、悪意ある取引活動とは結びつけられていません。一連の事例を通じて、サードパーティサービスプロバイダーが暗号資産セキュリティ対応における繰り返しの焦点となり、取引所がベンダーリスクを自社のリスクの一部として扱っている実態が浮き彫りになっています。

BinanceもDeribitも、認証情報が失効した時点でSignalPlusに接続していた顧客アカウントの数は明らかにしていません。問題の性質が依然として非公開であるなか、今後の懸案事項は何が警告の引き金となったのか、何人のユーザーが影響を受けたのか、そしてどのような条件で自動アクセスが再開しうるのかです。Binanceは代替API接続について、SignalPlusが問題の完全解決を確認することを条件としています。

出典：Crypto Adventure