Криптобиржи Binance и Deribit заявили в четверг, что в качестве меры предосторожности отозвали API-ключи, связанные с SignalPlus — платформой для торговли криптодеривативами — после того как компания сообщила об инциденте безопасности. Обе биржи заявили, что их собственные системы не пострадали, однако Deribit предупредила, что функции торговли, мониторинга и автоматизации, работавшие через SignalPlus, перестали быть доступны её клиентам. API-ключи бирж позволяют сторонним платформам совершать сделки и отслеживать счета от имени пользователя, поэтому их отзыв отключает эти процессы, даже если сама биржа не имеет признаков компрометации.

Сооснователь Binance Хе И заявил в публикации на X, что сторонние платформы, интегрированные с биржей, должны проверить свои меры безопасности и отслеживать подозрительную активность, предупредив, что угроза выходит за рамки какой-либо одной компании.

SignalPlus предоставляет торговую инфраструктуру для криптодеривативов, с особым акцентом на опционы, позволяя профессиональным и институциональным трейдерам управлять позициями на нескольких биржах через единую платформу.

Согласно заявлению компании на X, атака началась со взломанного Telegram-аккаунта контактного лица стороннего технологического поставщика. Злоумышленник выдал себя за это лицо и отправил инженеру SignalPlus поддельное приглашение на встречу в Microsoft Teams, получив контроль над компьютером сотрудника.

Затем злоумышленник оставался в скрытом режиме на взломанном компьютере, прежде чем использовать привилегии доступа инженера для атаки на внутреннюю сеть SignalPlus ранним утром в среду, сообщила компания.

SignalPlus заявила, что обнаружила и локализовала вторжение, ограничив общие потери суммой менее 82 000 долларов, и начала полный возврат средств затронутым пользователям. Компания временно приостановила свои сервисы и рассчитывает возобновить работу в ближайшие несколько дней после завершения проверок безопасности и установки исправлений — от этих сроков зависит, когда клиенты вновь получат доступ к функциям торговли, мониторинга и автоматизации, которые перестали работать.

SignalPlus также признала, что не требовала IP-белых списков для доступа к API бирж. «Мы берём на себя ответственность за этот недосмотр», — заявила компания, добавив, что ужесточит требования к доступу через API и усилит внутренние меры безопасности. IP-белый список — это мера безопасности, ограничивающая доступ к API заранее определённым перечнем одобренных интернет-адресов.

Связанное: Основатель BitMart заявил, что команда безопасности была «серьёзно недоукомплектована» после нового взлома

Атака на SignalPlus последовала за взломом Binance на 6,3 млрд долларов

Инцидент с SignalPlus произошёл спустя несколько дней после того, как Binance 29 октября раскрыла детали взлома на 6,3 млрд долларов, который также был связан с компрометацией компьютеров сотрудников. Согласно расследованию Binance, злоумышленники, выдававшие себя за рекрутеров, обманом убедили инженера скачать вредоносный файл, замаскированный под задание по программированию. Впоследствии злоумышленники использовали взломанный компьютер для доступа к дополнительным системам и в итоге проникли в инфраструктуру кошельков биржи. Оба инцидента объединяет одинаковая начальная схема: злоумышленник выдаёт себя за доверенное контактное лицо или рекрутера, компрометирует компьютер одного сотрудника, а затем использует эту точку опоры для проникновения глубже в системы компании.

Сооснователь Binance Хе И заявил во вторник на X, что биржа в 2026 году обнаружила и предотвратила 57 подозрительных киберугроз, связанных с Северной Кореей, включая поддельные собеседования, вредоносные программные пакеты и попытки кражи учётных данных сотрудников.

Источник: Cointelegraph