De crypto-beurzen Binance en Deribit lieten donderdag weten dat ze API-sleutels die verbonden zijn met SignalPlus, een handelsplatform voor crypto-derivaten, voorzorgshalve hadden ingetrokken nadat het bedrijf een securitybreach had gemeld. Beide beurzen stelden dat hun eigen systemen onaangetast waren, alwaarschuwde Deribit wel dat handels-, monitoring- en automatiseringsfuncties die via SignalPlus verlopen, voor haar klanten niet meer werkten. API-sleutels van beurzen stellen derde platforms in staat om namens een gebruiker transacties uit te voeren en accounts te monitoren; daarom verbreekt het intrekken ervan die workflows, zelfs wanneer de beurs zelf geen tekenen van compromise vertoont.

Binance-medeoprichter Yi He zei in een bericht op X dat derde platforms die met de beurs zijn geïntegreerd hun securitymaatregelen moeten herzien en verdachte activiteiten moeten monitoren, met de waarschuwing dat de dreiging verder reikte dan één enkel bedrijf.

SignalPlus levert handelsinfrastructuur voor crypto-derivaten, met name opties, waarmee professionele en institutionele handelaren posities op meerdere beurzen via één platform kunnen beheren.

Volgens een verklaring die het bedrijf op X plaatste begon de aanval met een gecompromitteerd Telegram-account van een contactpersoon bij een externe technologieleverancier. De aanvaller imiteerde deze contactpersoon en stuurde een nepuitnodiging voor een Microsoft Teams-vergadering naar een SignalPlus-engineer, waarmee de computer van de medewerker werd gecompromitteerd.

De indringer bleef daarna inactief op de gecompromitteerde computer voordat hij vroeg op woensdag met de toegangsrechten van de engineer het interne netwerk van SignalPlus aanviel, aldus het bedrijf.

SignalPlus meldde dat het de inbreuk heeft opgespoord en ingedamd, met totale verliezen van minder dan $82.000, en is begonnen getroffen gebruikers volledig te compenseren. Het bedrijf heeft zijn diensten tijdelijk opgeschort en verwacht de operaties in de komende dagen te hervatten na het afronden van securityreviews en het aanbrengen van patches — een tijdlijn die bepaalt wanneer klanten de handels-, monitoring- en automatiseringsfuncties die offline waren gehaald, weer terugkrijgen.

SignalPlus gaf ook toe dat het geen IP-whitelisting had vereist voor API-toegang tot beurzen. "Wij nemen de verantwoordelijkheid voor deze misser," aldus het bedrijf, dat toevoegde de API-toegangseisen te zullen aanscherpen en de interne securitycontroles te versterken. IP-whitelisting is een securitymaatregel die API-toegang beperkt tot een vooraf gedefinieerde lijst van goedgekeurde internetadressen.

Gerelateerd: BitMart-oprichter zegt dat securityteam 'ernstig onderbemand' is na nieuwe hack

SignalPlus-aanval volgt op $6,3 miljard-hack bij Binance

Het SignalPlus-incident volgt enkele dagen nadat Binance details bekendmaakte van een hack van $6,3 miljard op 29 oktober, waarbij eveneens computers van medewerkers gecompromitteerd werden. Volgens Binance' evaluatie lokten aanvallers die zich als recruiters voordeden een engineer naar het downloaden van een kwaadaardig bestand dat was vermomd als een programmeeropdracht. De aanvallers gebruikten de gecompromitteerde computer vervolgens om toegang te krijgen tot aanvullende systemen en uiteindelijk de wallet-infrastructuur van de beurs te doorbreken. Beide breaches delen dezelfde opening: een aanvaller die een vertrouwde contactpersoon of recruiter imiteert om de machine van één medewerker te compromitteren en vanaf dat strandhoofd dieper in de bedrijfssystemen door te dringen.

Binance-medeoprichter Yi He zei dinsdag op X dat de beurs in 2026 57 vermoedelijke cyberdreigingen met een Noord-Koreaanse connectie heeft opgespoord en geblokkeerd, waaronder frauduleuze sollicitatiegesprekken, kwaadaardige softwarepakketten en pogingen om inloggegevens van medewerkers te stelen.

Bron: Cointelegraph