Le PDG de Binance, Changpeng 'CZ' Zhao, a déclaré qu'il était à peu près certain que 3Commas, une plate-forme de gestion d'échange de crypto-monnaie, avait une fuite de clé API généralisée.
Le 29 décembre, CZ a conseillé aux utilisateurs de Twitter de désactiver toutes les clés d'API de trading qu'ils ont déjà saisies sur la plate-forme 3Commas. De plus, il a répondu à un utilisateur que bien que Binance essaie de le désactiver sur le site, l'activité est "compliquée".
Je suis raisonnablement sûr qu'il y a des fuites de clés API propagées par 3Commas. Si vous avez déjà entré une clé API dans 3Commas (à partir de n'importe quel échange), désactivez-la immédiatement.
Restez #SAFU .
—CZ
Binance (@cz_binance) 28 décembre 2022
La déclaration de CZ fait suite à un incident du 9 décembre au cours duquel Binance a fermé les comptes de certains utilisateurs qui s'étaient plaints que leurs fonds avaient été épuisés.
Plus tôt, un utilisateur a affirmé que la plate-forme 3Commas avait exposé la clé API. Il a apparemment été utilisé pour échanger des actifs cryptographiques à petite capitalisation afin d'augmenter les prix et les bénéfices.
En réponse, Binance a refusé de rembourser les utilisateurs. CZ a fait valoir qu'il ne pourrait jamais être établi que les utilisateurs n'avaient pas volé leurs clés API. Il a déclaré: «Les transactions ont été effectuées à l'aide des clés API que vous avez créées. Sinon, nous ne paierons que la perte des clés API des utilisateurs. J'espère que tu comprends."
Nier les problèmes de sécurité
Le 11 décembre, le PDG de 3Commas, Yuriy Sorokin, a déclaré que de fausses captures d'écran illustrant sa mauvaise sécurité circulaient sur Twitter et YouTube. Il a également réfuté les allégations selon lesquelles les membres du personnel de 3Commas auraient volé des clés API.
Il a expliqué : « La personne qui a créé les captures d'écran a fait du bon travail avec un éditeur HTML, mais a commis quelques erreurs clés qui prouvent facilement que ses affirmations sont fausses. Nous allons les examiner point par point ».
Fin octobre, 3Commas a commencé à rencontrer des problèmes de sécurité. En réponse aux allégations d'utilisateurs concernant des transactions non autorisées sur FTX à l'époque, la bourse a également publié un avis de sécurité .
FTX et 3Commas l'ont établi comme une tentative de phishing potentielle où les pirates ont créé des comptes 3Commas pour effectuer des transactions. Selon 3Commas, les clés API n'ont pas été extraites de leur plate-forme propriétaire mais de sites Web répliqués.
Sorokin a reconnu plus tard que les preuves montraient que le phishing était au moins un facteur contributif au vol de l'API.
Cependant, la communauté crypto sur Twitter a affirmé que les clés API 3Commas avaient été compromises en raison d'une faille de sécurité.
3Commas admet enfin avoir subi des fuites de données
Dans un développement récent, le PDG Yuriy Sorokin s'est rendu sur Twitter pour reconnaître pour la première fois qu'une fuite de données s'était produite dans son entreprise. Sorokin a expliqué qu'il avait vérifié que les informations contenues dans les fichiers étaient exactes après avoir vu le message du pirate. En outre, l'exécutif a confirmé que 3Commas a maintenant demandé la révocation immédiate de toutes les clés de Binance, Kucoin et de tous les échanges pris en charge.
Le responsable de la plateforme a également convenu qu'un emploi interne est toujours possible, mais n'a trouvé aucune preuve de cela dans l'enquête.
Maintenant, il a déclaré que la plateforme avait lancé une enquête complète impliquant les forces de l'ordre. Pendant ce temps, le compte Twitter de 3Commas indique qu'aucune clé créée après le 16 novembre n'est à risque.
La plate-forme a également déclaré: «Nous exhortons chaque utilisateur à réémettre ses clés sur les échanges. Encore une fois, nous nous engageons à dire qu'aucune clé après le 16 novembre n'est à risque. Si vous ne les mettez pas à jour, ils seront retirés des échanges pour assurer la sécurité de votre compte.
Perte estimée à plus de 10 millions de dollars
Le 23 décembre, un groupe de commerçants a affirmé qu'une clé API de la plate-forme 3Commas avait été compromise, permettant le vol de plus de 22 millions de dollars en crypto-monnaie.
3Commas n'est devenu clair qu'après que la communauté de crypto-monnaie Twitter a obtenu et publié publiquement environ 100 000 des clés API de ses utilisateurs.
Le 20 décembre, l'enquêteur de la blockchain ZachXBT a déclaré que 44 victimes avaient perdu environ 14,8 millions de dollars à cause du vol de clés.
Dans sa dernière déclaration, ZachXBT a déclaré : « 3Commas a finalement reconnu la fuite, mais le mal était déjà fait. Depuis des semaines, ils blâment ses utilisateurs et n'acceptent aucune responsabilité.
Le poste Le PDG de 3Commas admet une fuite d'API, demande aux échanges de révoquer les clés est apparu pour la première fois sur BeInCrypto .