Binance en Deribit hebben alle API-sleutels die verbonden zijn met SignalPlus uitgeschakeld, nadat de crypto derivatives-infrastructuurprovider een cyberaanbaanmeldde waarbij een van zijn ingenieurs was gecompromitteerd. Beide beurzen zeiden dat hun eigen systemen niet zijn aangetast: Binance verklaarde dat er geen gebruikersfondsen verloren waren gegaan, terwijl Deribit geen aanwijzingen vond dat zijn systemen of data waren gecompromitteerd.

SignalPlus zei dat het incident begon in de vroege ochtend van 4 november en een klein aantal accounts trof die geen IP-whitelisting gebruikten. In een verklaring die op 5 november op X werd gedeeld, zei het bedrijf dat de totale verliezen onder de US$82.000 bleven en dat alle getroffen gebruikers volledig zouden worden terugbetaald.

TL;DR: In de vroege ochtend van 4 november werd SignalPlus het doelwit van een aanval die begon met een gecompromitteerd Telegram-account van een derde partij, waardoor een klein aantal accounts zonder IP-whitelisting werd getroffen. We detecteerden en stopten de inbraak snel. Als voorzorgsmaatregel werkten we onmiddellijk samen met onze CEX-partners om alle aan SignalPlus gekoppelde API-sleutels in te trekken en our terminaldiensten tijdelijk te pauzeren. De totale verliezen zijn onder de US$82k, en alle getroffen gebruikers worden volledig terugbetaald. We verwachten de diensten de komende dagen volledig weer online te brengen. Updates en instructies voor gebruikers worden gedeeld via onze officiële kanalen.

— SignalPlus (@SignalPlus_Web3) 5 november 2026 (X-post)

Binance en Deribit snijden SignalPlus-toegang af

Het bedrijf meldde de verdachte activiteit aan zijn gecentraliseerde beurspartners en verzocht hen alle API-sleutels van SignalPlus op te schorten. Het sloot ook zijn handelsterminal terwijl het een uitgebreide beveiligingsaudit uitvoerde.

De gecoördineerde intrekking heeft handel, monitoring en geautomatiseerde uitvoering via SignalPlus effectief geblokkeerd gedurende de periode van intrekking van de inloggegevens. Terminals van derden zoals deze werken door verbinding te maken met klantaccounts op beurzen via API-inloggegevens, en daarom snijdt het intrekken van de sleutels op beursniveau het platform volledig af van die accounts.

Binance-CEO Changpeng Zhao adviseerde alle gebruikers die via SignalPlus verbonden zijn om ook hun andere API-inloggegevens te annuleren. Apart daartoe riep Binance-medeoprichter Yi He platforms van derden die met de beurs zijn geïntegreerd op hun eigen beveiligingsmaatregelen te herzien en ongewone activiteit in de gaten te houden.

We moedigen ook alle platforms van derden die met Binance zijn geïntegreerd aan hun beveiligingscontroles te herzien, ongewone activiteit te monitoren en onmiddellijk contact met ons op te nemen als ze iets opmerken💁🏻‍♀️ Dit is geen uitdaging voor één enkel bedrijf……

— Yi He (@heyibinance) 5 november 2026 (X-post)

Valse Teams-uitnodiging compromitteerde een ingenieur

SignalPlus herleidde de inbraak tot het Telegram-account van een contactpersoon bij een van zijn externe technologieproviders. De aanvaller deed zich voor als die contactpersoon en stuurde een valse Microsoft Teams-uitnodiging naar een SignalPlus-ingenieur. Na infectie van de computer van de ingenieur bleef de indringer stil tot hij toegang kon misbruiken van de medewerker tot het interne netwerk van het bedrijf.

Het bedrijf zei dat het de activiteit detecteerde, blokkeerde en de geïdentificeerde kwetsbaarheden sloot.

IP-whitelisting wordt een belangrijk faalpunt

SignalPlus erkende ook dat zijn beurs-API-toegang niet beschermd werd door IP-whitelisting, een beveiliging die een API-sleutel beperkt zodat deze alleen werkt vanaf vooraf goedgekeurde adressen. Zonder zo'n beperking kunnen gestolen inloggegevens worden gebruikt vanaf infrastructuur onder controle van aanvallers, onderworpen alleen aan de rechten die op de sleutel zijn ingesteld.

Het bedrijf zei dat het zijn API-toegangsbeleid, endpoint-beveiliging, interne rechten en sleutelbeheertoegang zal aanpassen. Het herhaalde dat de totale verliezen door het incident onder de $82.000 liggen en dat getroffen gebruikers volledig worden terugbetaald. SignalPlus verwacht de diensten de komende dagen volledig weer online te brengen, met updates en instructies voor gebruikers via zijn officiële kanalen.

Crypto-bedrijven krijgen opnieuw waarschuwing over social engineering

De inbraak volgt op een aparte crypto-diefstal van $6,3 miljard bij Binance op 29 oktober. Binance zei later dat die aanval werd uitgevoerd via gehackte computers van medewerkers, waaronder een ingenieur die werd benaderd met een nep-vacaturegesprek, en de FBI schreef het toe aan een Noord-Koreaanse hackinggroep.

Hoewel de twee incidenten onafhankelijk plaatsvonden, illustreren beide een breder patroon van aanvallers die medewerkers en vertrouwde relaties met derden targeten in plaats van de beursinfrastructuur zelf.

SignalPlus zei dat de diensten gefaseerd zullen terugkeren zodra beveiligingsbeoordelingen en patches zijn uitgevoerd. Terwijl de SignalPlus-terminal is opgeschort, kunnen gebruikers hun posities en openstaande orders nog steeds direct via de beurzen beheren.

Bron: CryptoNinjas