Binance i Deribit wyłączyły wszystkie klucze API powiązane z SignalPlus, po tym jak dostawca infrastruktury dla instrumentów pochodnych ujawnił cyberatak, w którym został przejęty komputer jednego z jego inżynierów. Obie giełdy oświadczyły, że ich własne systemy nie ucierpiały: Binance stwierdziła, że nie utracono środków użytkowników, a Deribit nie znalazła śladów naruszenia swoich systemów ani danych.

SignalPlus poinformował, że incydent rozpoczął się wcześnie rano 4 listopada i dotyczył niewielkiej liczby kont, które nie korzystały z whitelistingu adresów IP. W oświadczeniu opublikowanym na X 5 listopada firma poinformowała, że łączne straty wyniosły mniej niż 82 000 dolarów i że wszyscy poszkodowani użytkownicy zostaną w pełni zrekompensowani.

TL;DR: In the early hours of Nov 4, SignalPlus was targeted in an attack that began with a compromised third-party Telegram account, affecting a small number of accounts without IP whitelisting. We detected and contained the intrusion quickly. As a precaution, we immediately worked with our CEX partners to revoke all SignalPlus-linked API keys and temporarily paused our terminal services. Total losses are under US$82k, and all affected users will be reimbursed in full. We expect to bring services fully back online over the next few days. Updates and user instructions will be shared through our official channels.

— SignalPlus (@SignalPlus_Web3) November 5, 2026 (post na X)

Binance i Deribit odcinają dostęp SignalPlus

Firma zgłosiła podejrzaną aktywność swoim partnerom — scentralizowanym giełdom — i zwróciła się z prośbą o zawieszenie wszystkich kluczy API SignalPlus. Jednocześnie wyłączyła swój terminal handlowy w trakcie przeprowadzania kompleksowego audytu bezpieczeństwa.

Skoordynowane cofnięcie poświadczeń skutecznie zablokowało handel, monitorowanie i automatyczne wykonywanie zleceń poprzez SignalPlus na czas okresu cofania poświadczeń. Terminale third-party tego typu działają poprzez łączenie się z giełdowymi kontami klientów za pomocą poświadczeń API, dlatego cofnięcie kluczy na poziomie giełdy całkowicie odcina platformę od tych kont.

CEO Binance Changpeng Zhao doradził wszystkim użytkownikom podłączonym przez SignalPlus, aby cofnęli również swoje inne poświadczenia API. Niezależnie od tego współzałożycielka Binance Yi He wezwała platformy trzecie zintegrowane z giełdą do sprawdzenia własnych środków bezpieczeństwa i obserwowania nietypowej aktywności.

We also encourage all third-party platforms integrated with Binance to review their security controls, monitor for unusual activity and contact us immediately if they detect any concern💁🏻‍♀️ This is not a challenge for any single company……

— Yi He (@heyibinance) November 5, 2026 (post na X)

Fałszywe zaproszenie do Teams przejęło komputer inżyniera

SignalPlus prześledził włamanie do konta Telegram kontaktu u jednego z zewnętrznych dostawców technologii. Atakujący podszyl się pod tę osobę i wysłał inżynierowi SignalPlus fałszywe zaproszenie do Microsoft Teams. Po zainfekowaniu komputera inżyniera intruz pozostawał w ukryciu, aż zdołał wykorzystać dostęp pracownika do wewnętrznej sieci firmy.

Firma oświadczyła, że wykryła aktywność, zablokowała ją i załatała zidentyfikowane luki w zabezpieczeniach.

Whitelisting IP staje się kluczowym punktem awarii

SignalPlus przyznał również, że dostęp do API giełd nie był chroniony whitelistingiem adresów IP — zabezpieczeniem, które ogranicza klucz API tak, aby działał wyłącznie z wcześniej zatwierdzonych adresów. Bez takiego ograniczenia skradzione poświadczenia mogą być wykorzystane z infrastruktury kontrolowanej przez atakującego, przy czym jedynym ograniczeniem są uprawnienia skonfigurowane dla klucza.

Firma oświadczyła, że dostosuje swoje zasady dostępu do API, bezpieczeństwo punktów końcowych, uprawnienia wewnętrzne oraz dostęp do zarządzania kluczami. Ponownie podkreśliła, że łączne straty z incydentu są niższe niż 82 000 dolarów i że poszkodowani użytkownicy są w pełni rekompensowani. SignalPlus oczekuje pełnego przywrócenia usług w ciągu najbliższych kilku dni, a aktualizacje i instrukcje dla użytkowników będą przekazywane przez oficjalne kanały.

Firmy kryptowalutowe stają przed kolejnym ostrzeżeniem o socjotechnice

Naruszenie nastąpiło po odrębnym napadzie kryptowalutowym o wartości 6,3 miliarda dolarów na Binance w dniu 29 października. Binance później oświadczyła, że atak przeprowadzono poprzez przejęte komputery pracowników, w tym inżyniera, na którego zastosowano fałszywą rozmowę kwalifikacyjną, a FBI przypisało go północnokoreańskiej grupie hakerskiej.

Chociaż oba incydenty wystąpiły niezależnie, oba ilustrują szerszy wzorzec ataków wymierzonych w pracowników i relacje z zaufanymi podmiotami trzecimi, a nie w samą infrastrukturę giełd.

SignalPlus oświadczył, że usługi wrócą etapowo po wdrożeniu przeglądów bezpieczeństwa i poprawek. Dopóki terminal SignalPlus pozostaje zawieszony, użytkownicy mogą nadal zarządzać swoimi pozycjami i otwartymi zleceniami bezpośrednio na giełdach.

Źródło: CryptoNinjas