3Commas API-lækage fremhæver endnu en måde at miste dine penge på

I dagens digitale tidsalder er det vigtigere end nogensinde at være opmærksom på de potentielle risici ved online sikkerhedsbrud såsom API-lækager, da de kan føre til tab af personlige oplysninger og finansielle data.

API-lækager opstår, når en tredjepart får adgang til en virksomheds API (Application Programming Interface) uden tilladelse. Dette kan ske, når en virksomheds API ikke er korrekt sikret, eller når hackere er i stand til at udnytte en sårbarhed i systemet. Og når en tredjepart har adgang til en virksomheds API, kan de potentielt få adgang til følsomme data, såsom kunders kreditkortoplysninger eller kontosaldi.

API-lækager kan have alvorlige konsekvenser for både virksomheder og forbrugere. Virksomheder kan stå over for store bøder og erstatningskrav, hvis kundedata kompromitteres, mens forbrugere kan blive ramt af økonomisk svindel eller identitetstyveri. Så lad os dykke dybt ned for at forstå det bedre!

Forståelse af API-nøgle

En API-nøgle er en unik identifikator, der bruges til at godkende anmodninger til en API (Application Programming Interface). Det er en måde for API’en at identificere udvikleren eller systemet, der foretager anmodningen, og sikre at kun autoriserede anmodninger behandles.

API-nøgler bruges ofte til at spore og kontrollere brugen af en API og for at sikre, at API’en ikke misbruges eller overudnyttes. De genereres normalt af API-udbyderen og ledsages ofte af en hemmelig nøgle for at godkende API-nøglen og sikre, at den bruges af en autoriseret kilde.

For at bruge en API, der kræver en API-nøgle, skal systemet inkludere nøglen i de anmodninger, der sendes til API’en. Dette gøres normalt ved at inkludere nøglen i anmodningsheaderen eller som en forespørgselsparameter i anmodnings-URL’en.

Der findes to typer af API-nøgler: private og offentlige. Private API’er er normalt kun tilgængelige for en specifik gruppe af brugere eller systemer og bruges ofte til at få adgang til følsomme eller proprietære data eller funktionalitet. Offentlige API’er derimod bruges ofte til at få adgang til data eller funktionalitet, der er tilgængelig for offentligheden. Offentlige API-nøgler udstedes typisk til enhver udvikler eller system, der ønsker at bruge API’en.

Hvordan bruges de i handel?

API-nøgler bruges ofte i handel til at få adgang til en finansiel handelsplatform, såsom en børs eller en kryptovalutaudveksling.

De giver udviklere mulighed for at bygge applikationer, der kan interagere med kryptobørser og udføre handler på vegne af brugeren. De kan derefter bruges til at se kontoinformation, hente realtids markedsdata, afgive ordrer og administrere positioner, blandt andet.

Ideen er, at mennesker ikke behøver at udføre det hårde arbejde med at tænke eller udføre deres handler. I stedet sker det hele øjeblikkeligt og automatisk via kode. Men det gælder kun, indtil de forkerte personer får adgang til API’erne, da det er alt, hvad de behøver for at skabe kaos.

Når alt kommer til alt, genereres API-nøgler typisk af børsen, og brugeren skal give nøglen til handelssoftwaren for at få adgang til API’en.

Farer ved at bruge API-nøgler i handel

Selvom API-nøgler kan være meget praktiske, kan de også udgøre en sikkerhedsrisiko. For eksempel, hvis en API-nøgle kompromitteres, kan den bruges til at få uautoriseret adgang til en konto eller til at udføre handler på vegne af brugeren og afløbe midler.

Desuden, hvis nøglen bruges til at få adgang til følsomme finansielle oplysninger, såsom kontosaldi eller handelshistorik, kan den bruges til at svindle dig eller begå andre forbrydelser.

Desuden er API-lækager ofte svære at opdage, da de ofte forekommer inden for koden i en applikation eller tjeneste snarere end i databasen eller serveren. Som følge heraf kan de forblive uopdagede i en længere periode.

3Commas API-lækage

Allerede i sidste uge blev det spekuleret i, at millioner af dollars i kryptovaluta var blevet stjålet gennem kompromitterede API-nøgler fra den estisk-baserede handelsplatform 3Commas, som blev støttet af Sam Bankman-Frieds Alameda Research. I denne uge indrømmede virksomheden, at den var kilden til API-lækagen.

3Commas’ meddelelse kom efter, at en anonym Twitter-bruger havde fået fat i omkring 100.000 API-nøgler, der tilhørte brugerne af handelssoftwareudbyderen, og offentliggjorde over 10.000 af nøglerne online og sagde, at resten “vil blive offentliggjort fuldt [sic] tilfældigt i de kommende dage.”

Siden da har 3Commas bedt de understøttede kryptobørser som Binance, Kucoin og andre om at tilbagekalde alle de API-nøgler, der var forbundet med handelsplatformen.

Lækagen kommer efter, at dusinvis af 3Commas-brugere hævdede, at deres API-nøgler blev brugt til at udføre handler på børser som KuCoin og Coinbase uden deres samtykke. Platformen bekræftede, at brugerne mistede mindst 6 millioner dollars til angribere fra oktober, men dette beløb er fordoblet i de seneste uger.

Oprindeligt havde 3Commas fastholdt, at der ikke var noget sikkerhedsproblem fra deres side, og at et phishing-angreb havde fået brugerne til at afgive deres data. Men dataudslippet viser, at brugernes legitimationsoplysninger blev lækket i stedet for phishing.

3Commas er en populær kryptovaluta-handelsbot, der gør det muligt for brugere at automatisere deres handel på tredjepartsbørser. Appen bruger API-nøgler til at få adgang til brugernes konti på børsene, og det ser ud til, at de API-nøgler, der indgår i denne uges lækage, blev genereret på Binance og KuCoin.

Ifølge blockchain-undersøgeren @ZachXBT har en gruppe på 44 ofre mistet i alt 14,8 millioner dollars gennem API-nøgler stjålet fra 3Commas. På det tidspunkt argumenterede 3Commas CEO Yuri Sorokin, at hvis de lækkede API-nøgler havde været fra 3Commas, “ville du have set millioner af tilfælde, ikke kun hundrede.”

Der er mere end 1 million nøgler forbundet til 3Commas, men kun omkring 100 brugere rapporterede problemer med deres konti, tilføjede Sorokin. Denne uge kritiserede brugerne 3Commas for at skyde skylden på sine egne brugere i stedet for at påtage sig ansvaret og fokusere på at forhindre yderligere udnyttelser.

Før 3Commas’ udtalelse kom denne uge, advarede Binance CEO Changpeng Zhao brugerne og sagde: “Jeg er rimeligt sikker på, at der er udbredte API-nøglelækager fra 3Commas. Hvis du nogensinde har indsat en API-nøgle i 3Commas (fra en hvilken som helst børs), så deaktiver den straks.”

3Commas opfordrer nu brugerne til at generere nye API-koder som en forholdsregel. Derudover har de også opdateret appen for at gøre fremtidige phishing-svindel sværere at udføre.

I mellemtiden sagde 3Commas’ juridiske team i en erklæring, at firmaet var i gang med at ansætte eksterne eksperter til at gennemgå deres kode og afklare situationen endeligt for brugerne.

“Kun en ubetydelig brøkdel af brugerne rapporterede unormal aktivitet til 3Commas. 99,9 % af API-nøglerne, der er gemt i 3Commas-databasen, er ikke blevet påvirket af angrebene,” tilføjede det juridiske team.

Beskyttelsesforanstaltninger

I dagens verden er det vigtigere end nogensinde at beskytte din API, på grund af den direkte adgang, den giver til applikationer og data. Du kan ikke blot sige, at din API er sikker i dag. API-sikkerhed er nødvendig nu mere end nogensinde.

Hvis du ikke sikrer en API korrekt, kan det give dig mange problemer. Så sørg for kun at gøre forretninger med pålidelige virksomheder, og del aldrig dine følsomme data med nogen, medmindre du er helt sikker på, at det er sikkert at gøre det.

En anden måde at beskytte mod API-lækager på er at holde dine applikationer og tjenester opdaterede og have en plan for regelmæssig opdatering. På den måde kan du sikre, at nye sårbarheder bliver rettet så hurtigt som muligt. Derudover bør du overveje at bruge en webapplikationsfirewall (WAF) for at hjælpe med at blokere ondsindede anmodninger.

Hold altid din API-nøgle sikker og tryg, og gem den aldrig et sted, hvor den let kan blive kompromitteret. Det er vigtigt at skifte dine API-nøgler regelmæssigt og ikke dele dem med nogen, heller ikke dem du stoler på. Hvis du er nødt til at dele dem, så sørg for at gøre det via en sikker metode, såsom en adgangskodebeskyttet fil.

Hvis du nogensinde mistænker, at din API-nøgle er blevet kompromitteret, skal du straks skifte den og underrette din børs. For yderligere at beskytte dig selv mod disse risici er det vigtigt at skifte dine adgangskoder regelmæssigt og aldrig bruge den samme adgangskode til flere konti. Ved at tage disse forholdsregler kan du hjælpe med at holde din konto sikker og tryg.

Afsluttende ord

API-lækager er ikke noget nyt. Faktisk har de eksisteret i et stykke tid. Og selvom de måske ikke er den mest almindelige form for datalæk, kan de stadig være ret skadelige. Dette skyldes, at API-lækager, i modsætning til andre typer af datalæk, kan give angribere direkte adgang til dine mest følsomme data.

Selvom det ikke er den eneste måde at miste penge på, er det bestemt en stor bekymring. Så det er vigtigt at bruge API-nøgler i handel ansvarligt, at være opmærksom på de potentielle risici og begrænsninger ved at bruge dem, og sørge for at tage de nødvendige forholdsregler for at beskytte dine penge og dine oplysninger.