Giełdy kryptowalut Binance i Deribit oświadczyły w czwartek, że jako środek ostrożności unieważniły klucze API powiązane z SignalPlus, platformą do handlu instrumentami pochodnymi na kryptowaluty, po ujawnieniu przez firmę naruszenia bezpieczeństwa. Obie giełdy zapewniły, że ich własne systemy nie ucierpiały, jednak Deribit ostrzegł, że funkcje handlu, monitoringu i automatyzacji realizowane przez SignalPlus przestały działać dla jego klientów. Klucze API giełd pozwalają zewnętrznym platformom wykonywać transakcje i monitorować konta w imieniu użytkownika — dlatego ich unieważnienie odcina te procesy, nawet gdy sama giełda nie wykazuje oznak kompromitacji.

Współzałożyciel Binance Yi He oświadczył w poście na X, że zewnętrzne platformy zintegrowane z giełdą powinny zweryfikować swoje zabezpieczenia i monitorować podejrzane aktywność, ostrzegając, że zagrożenie wykracza poza jedną firmę.

SignalPlus dostarcza infrastrukturę handlową dla instrumentów pochodnych na kryptowaluty, ze szczególnym naciskiem na opcje, umożliwiając profesjonalnym i instytucjonalnym traderom zarządzanie pozycjami na wielu giełdach za pośrednictwem jednej platformy.

Według oświadczenia opublikowanego przez firmę na X atak miał źródło w skompromitowanym koncie Telegram należącym do kontaktu w zewnętrznej firmie technologicznej. Atakujący podszył się pod ten kontakt i wysłał inżynierowi SignalPlus fałszywe zaproszenie do spotkania w Microsoft Teams, przejmując kontrolę nad komputerem pracownika.

Jak poinformowała firma, intruz następnie pozostawał uśpiony na skompromitowanym komputerze, zanim wykorzystał uprawnienia dostępu inżyniera do zaatakowania wewnętrznej sieci SignalPlus wczesnym rankiem w środę.

SignalPlus oświadczył, że wykrył włamanie i je powstrzymał, szacując całkowite straty na mniej niż 82 000 dolarów, i rozpoczął pełne zwroty środków poszkodowanym użytkownikom. Firma tymczasowo zawiesiła swoje usługi i spodziewa się wznowienia działalności w ciągu najbliższych dni po zakończeniu przeglądów bezpieczeństwa i instalacji poprawek — harmonogram ten przesądza o tym, kiedy klienci odzyskają funkcje handlu, monitoringu i automatyzacji, które zostały wyłączone.

SignalPlus przyznał również, że nie wymagał białej listy adresów IP dla dostępu API do giełd. „Bierzemy na siebie odpowiedzialność za to przeoczenie” — oświadczyła firma, dodając, że zaostrzy wymagania dostępu API i wzmocni wewnętrzne kontrole bezpieczeństwa. Biała lista IP to środek bezpieczeństwa ograniczający dostęp API do wcześniej zdefiniowanej listy zatwierdzonych adresów internetowych.

Powiązane: Założyciel BitMartu: zespół bezpieczeństwa „poważnie niedostatecznie obsadzony” po nowym haku

Atak na SignalPlus nastąpił po haku na Binance o wartości 6,3 mld dolarów

Incydent z SignalPlus nastąpił kilka dni po tym, jak Binance ujawnił szczegóły haku o wartości 6,3 miliarda dolarów z 29 października, w którym również wykorzystano skompromitowane komputery pracowników. Według raportu pokontrolnego Binance atakujący podszywający się pod rekruterów namówili inżyniera do pobrania złośliwego pliku podanego jako zadanie programistyczne. Następnie atakujący wykorzystali skompromitowany komputer, aby uzyskać dostęp do kolejnych systemów i ostatecznie przełamać zabezpieczenia infrastruktury portfeli giełdy. W obu przypadkach scenerio miało wspólny początek: atakujący podszywał się pod zaufany kontakt lub rekrutera, aby przejąć maszynę pojedynczego pracownika, a następnie wykorzystywał tę pozycję do wnikania głębiej w systemy firmy.

Współzałożyciel Binance Yi He oświadczył we wtorek na X, że giełda wykryła i zablokowała w 2026 roku 57 podejrzewanych zagrożeń cybernetycznych powiązanych z Koreą Północną, w tym fałszywe rozmowy rekrutacyjne, złośliwe pakiety oprogramowania i próby kradzieży poświadczeń pracowników.

Źródło: Cointelegraph