Die Kryptowährungsplattform 3Commas hat einen Leak ihrer API-Keys bestätigt, nachdem der CEO von Binance, Changpeng Zhao (CZ), seine 8 Millionen Twitter-Follower gewarnt hatte, dass er „ziemlich sicher“ ist, dass es zu solchen Leaks kommt.
Was war passiert?
Dies folgte auf einen Vorfall am 9. Dezember, als Binance das Konto eines Nutzers geschlossen hat, der sich über Verluste von Geldern am Tag zuvor beschwerte. Dieser Nutzer behauptete, ein geleakter API-Key im Zusammenhang mit 3Commas sei verwendet worden. Binance lehnte es ab, den Nutzer zu entschädigen. CZ twitterte, dass der Verlust nicht nachvollziehbar sei und wenn das Unternehmen solche Verluste ausgleichen würde, „werden wir nur dafür bezahlen, dass Nutzer ihre API-Keys verlieren“.
I am reasonably sure there are wide spread API key leaks from 3Commas. If you have ever put an API key in 3Commas (from any exchange), please disable it immediately.
Stay #SAFU.
— CZ 🔶 Binance (@cz_binance) December 28, 2022
Am 11. Dezember behauptete der CEO von 3Commas, Yuriy Sorokin, in einem Blogbeitrag, dass falsche Screenshots auf Twitter und YouTube kursierten, die angeblich zeigten, dass das Unternehmen mangelhafte Sicherheit hatte und dass Mitarbeiter API-Keys stahlen. Sorokin bestritt diese Vorwürfe in einer umfassenden technischen Analyse der Bilder: „Die Person, die die Screenshots erstellt hat, hat es gut mit einem HTML-Editor gemacht, aber ein paar grundlegende Fehler gemacht, die leicht beweisen, dass ihre Behauptungen falsch sind. Wir werden diese Punkt für Punkt durchgehen.“
‼️#Warnung Achtung @3commas_io Nutzer: Wenn du jemals einen API-Key in 3Commas (von irgendeiner Börse) @binance / @kucoincom eingefügt hast, deaktiviere ihn sofort. Die API Keys wurden durch einen Hack geleaked #3commasleak #apikeyleak pic.twitter.com/7pqZ0KyipL
— Cointable 🔽 (@cointable_de) December 29, 2022
Sicherheitsprobleme gab es erstmals bei 3Commas Ende Oktober. Zu diesem Zeitpunkt veröffentlichte die immer noch funktionale FTX-Börse eine Sicherheitswarnung im Zusammenhang mit Berichten von Nutzern über unerlaubte Handelsgeschäfte von Handelspaaren mit der DMG-Münze auf FTX. 3Commas und FTX stellten fest, dass Hacker 3Commas-Konten erstellt hatten, um die Geschäfte durchzuführen. Laut dem 3Commas-Blog wurden die API-Keys jedoch „nicht von 3Commas, sondern außerhalb der 3Commas-Plattform“ entfernt.
„In der Zwischenzeit hat ein Twitter-Nutzer behauptet, dass alle API-Keys von 3Commas geleakt wurden“.
1. Statement from 3Commas:
We saw the hacker’s message and can confirm that the data in the files is true. As an immediate action, we have asked that Binance, Kucoin, and other supported exchanges revoke all the keys that were connected to 3Commas.
— Yuriy Sorokin (@YS_3Commas) December 28, 2022
Nun hat Sorokin bestätigt, dass es tatsächlich zu einem Leak gekommen ist, fügte jedoch hinzu, dass kein Beweis dafür gefunden wurde, dass der Leak von innen kam. Der CEO riet allen Nutzern, ihre API-Keys zu deaktivieren, bis das Unternehmen in der Lage ist, einen sicheren Weg zur Verwendung von API-Keys bereitzustellen. Er versicherte auch, dass 3Commas die Sicherheitsmaßnahmen verbessern wird, um zukünftige Leaks zu verhindern.
