3Commas API-Leck verdeutlicht eine weitere Möglichkeit, Ihr Geld zu verlieren

Im heutigen digitalen Zeitalter ist es wichtiger denn je, sich der potenziellen Risiken von Online‑Sicherheitsverletzungen wie API-Lecks bewusst zu sein, da diese zum Verlust persönlicher Informationen und finanzieller Daten führen können.

API-Lecks entstehen, wenn ein Dritter ohne Erlaubnis auf die API (Application Programming Interface) eines Unternehmens zugreift. Das kann passieren, wenn die API eines Unternehmens nicht ordnungsgemäß gesichert ist oder wenn Hacker eine Schwachstelle im System ausnutzen können. Sobald ein Dritter Zugriff auf die API eines Unternehmens hat, kann er potenziell sensible Daten einsehen, etwa Kreditkarteninformationen von Kunden oder Kontostände.

API-Lecks können ernsthafte Folgen für Unternehmen und Verbraucher haben. Unternehmen können bei einer Kompromittierung von Kundendaten hohe Geldstrafen und Schadensersatzforderungen erhalten, während Verbraucher unter finanziellem Betrug oder Identitätsdiebstahl leiden können. Lassen Sie uns also genauer eintauchen, um das besser zu verstehen!

Verstehen von API‑Schlüsseln

Ein API‑Schlüssel ist ein eindeutiger Identifikator, der verwendet wird, um Anfragen an eine API (Application Programming Interface) zu authentifizieren. Er ermöglicht es der API, den Entwickler oder das System, das die Anfrage stellt, zu identifizieren und sicherzustellen, dass nur autorisierte Anfragen verarbeitet werden.

API‑Schlüssel werden häufig verwendet, um die Nutzung einer API zu verfolgen und zu kontrollieren und um sicherzustellen, dass die API nicht missbraucht oder übernutzt wird. Sie werden in der Regel vom API‑Anbieter generiert und gehen oft mit einem geheimen Schlüssel einher, um den API‑Schlüssel zu authentifizieren und sicherzustellen, dass er von einer autorisierten Quelle verwendet wird.

Um eine API zu nutzen, die einen API‑Schlüssel erfordert, muss das System den Schlüssel in den an die API gesendeten Anfragen einbinden. Dies geschieht in der Regel, indem der Schlüssel im Anfrage‑Header oder als Abfrageparameter in der Anfrage‑URL angegeben wird.

Es gibt zwei Arten von API‑Schlüsseln: private und öffentliche. Private APIs sind in der Regel nur für eine bestimmte Gruppe von Benutzern oder Systemen zugänglich und werden häufig verwendet, um auf sensible oder proprietäre Daten oder Funktionen zuzugreifen. Öffentliche APIs hingegen werden oft genutzt, um Daten oder Funktionen bereitzustellen, die der breiten Öffentlichkeit zur Verfügung stehen. Öffentliche API‑Schlüssel werden typischerweise an jeden Entwickler oder jedes System ausgegeben, das die API nutzen möchte.

Wie werden sie im Handel verwendet?

API‑Schlüssel werden häufig im Handel eingesetzt, um auf eine Finanzhandelsplattform zuzugreifen, etwa eine Börse oder einen Kryptowährungsaustausch.

Sie ermöglichen Entwicklern, Anwendungen zu erstellen, die mit Krypto‑Börsen interagieren und im Namen des Benutzers Trades ausführen können. Sie können dann verwendet werden, um Kontoinformationen einzusehen, Echtzeit‑Marktdaten abzurufen, Aufträge zu platzieren und Positionen zu verwalten, unter anderem.

Die Idee ist, dass Menschen nicht die mühsame Arbeit des Denkens oder Ausführens ihrer Trades übernehmen müssen. Stattdessen wird alles sofort und automatisch über Code erledigt. Das gilt jedoch nur, solange die falschen Personen keinen Zugriff auf die APIs erhalten, denn das ist alles, was sie benötigen, um Chaos zu verursachen.

Schließlich werden API‑Schlüssel in der Regel von der Börse generiert, und der Benutzer muss den Schlüssel der Handelssoftware zur Verfügung stellen, um auf die API zugreifen zu können.

Gefahren der Verwendung von API‑Schlüsseln im Handel

Obwohl API‑Schlüssel sehr praktisch sein können, stellen sie auch ein Sicherheitsrisiko dar. Beispielsweise kann ein kompromittierter API‑Schlüssel dazu verwendet werden, unautorisierten Zugriff auf ein Konto zu erhalten oder im Namen des Benutzers Trades auszuführen und Gelder abzuzweigen.

Zudem könnte ein Schlüssel, der Zugriff auf sensible Finanzinformationen wie Kontostände oder Handelsverläufe ermöglicht, dazu verwendet werden, Sie zu betrügen oder andere Straftaten zu begehen.

Darüber hinaus sind API‑Lecks oft schwer zu erkennen, da sie häufig im Code einer Anwendung oder eines Dienstes auftreten und nicht in der Datenbank oder auf dem Server. Daher können sie über einen längeren Zeitraum unentdeckt bleiben.

3Commas API-Leck

Erst letzte Woche wurde spekuliert, dass Kryptowährungen im Wert von mehreren Millionen Dollar durch kompromittierte API‑Schlüssel der estnischen Handelsplattform 3Commas, die von Sam Bankman‑Frieds Alameda Research unterstützt wird, gestohlen wurden. Diese Woche gab das Unternehmen zu, dass es die Quelle des API‑Lecks war.

Die Ankündigung von 3Commas erfolgte, nachdem ein anonymer Twitter‑Nutzer etwa 100.000 API‑Schlüssel von Nutzern der Handelssoftware erhalten und über 10.000 der Schlüssel online veröffentlicht hatte, mit der Aussage, dass der Rest „in den kommenden Tagen vollständig zufällig veröffentlicht wird“.

Seitdem hat 3Commas unterstützte Krypto‑Börsen wie Binance, Kucoin und andere gebeten, alle mit der Handelsplattform verbundenen API‑Schlüssel zu widerrufen.

Das Leck tritt auf, nachdem Dutzende von 3Commas‑Nutzern behaupteten, dass ihre API‑Schlüssel verwendet wurden, um ohne ihre Zustimmung Trades an Börsen wie KuCoin und Coinbase auszuführen. Die Plattform bestätigte, dass Nutzer seit Oktober mindestens 6 Millionen Dollar an Angreifer verloren haben, wobei sich dieser Betrag in den letzten Wochen verdoppelt hat.

Zunächst bestand 3Commas darauf, dass es kein Sicherheitsproblem auf seiner Seite gebe und ein Phishing‑Angriff die Nutzer dazu gebracht habe, ihre Daten preiszugeben. Der Datenabzug zeigt jedoch, dass die Anmeldedaten der Nutzer geleakt wurden und nicht per Phishing erlangt wurden.

3Commas ist ein beliebter Kryptowährungs‑Trading‑Bot, der es Nutzern ermöglicht, ihr Handeln an Drittanbieter‑Börsen zu automatisieren. Die App verwendet API‑Schlüssel, um auf die Konten der Nutzer an den Börsen zuzugreifen, und es scheint, dass die in diesem Wochen‑Leck enthaltenen API‑Schlüssel von Binance und KuCoin generiert wurden.

Laut dem Blockchain‑Detektiv @ZachXBT hat eine Gruppe von 44 Opfern insgesamt 14,8 Millionen Dollar durch von 3Commas gestohlene API‑Schlüssel verloren. Zu diesem Zeitpunkt argumentierte 3Commas‑CEO Yuri Sorokin, dass man, wenn die geleakten API‑Schlüssel von 3Commas stammten, „Millionen von Fällen und nicht nur ein paar hundert“ gesehen hätte.

Es gibt mehr als 1 Million Schlüssel, die mit 3Commas verbunden sind, aber nur etwa 100 Nutzer meldeten Probleme mit ihren Konten, fügte Sorokin hinzu. Diese Woche kritisierten Nutzer 3Commas dafür, dass das Unternehmen seine eigenen Nutzer beschuldige, anstatt Verantwortung zu übernehmen und sich darauf zu konzentrieren, weitere Ausbeutungen zu verhindern.

Bevor die Erklärung von 3Commas diese Woche erschien, warnte Binance‑CEO Changpeng Zhao die Nutzer mit den Worten: „Ich bin ziemlich sicher, dass es weit verbreitete API‑Schlüssel‑Lecks von 3Commas gibt. Wenn Sie jemals einen API‑Schlüssel in 3Commas (von irgendeiner Börse) hinterlegt haben, deaktivieren Sie ihn bitte sofort.“

3Commas ermutigt nun die Nutzer, aus Vorsichtsgründen neue API‑Codes zu generieren. Darüber hinaus haben sie die App aktualisiert, um zukünftige Phishing‑Betrugsversuche schwieriger zu machen.

Unterdessen erklärte das Rechts­team von 3Commas in einer Stellungnahme, dass das Unternehmen dabei sei, externe Experten zu beauftragen, um den Code zu überprüfen und die Angelegenheit endgültig für die Nutzer zu klären.

„Nur ein winziger Bruchteil der Nutzer meldete an 3Commas ungewöhnliche Aktivitäten. 99,9 % der in der 3Commas‑Datenbank gespeicherten API‑Schlüssel wurden von den Angriffen nicht betroffen“, fügte das Rechts­team hinzu.

Schutzmaßnahmen

In der heutigen Welt ist der Schutz Ihrer API wichtiger denn je, da sie direkten Zugriff auf Anwendungen und Daten gewährt. Man kann nicht einfach behaupten, die API sei heute sicher. API‑Sicherheit wird jetzt mehr denn je benötigt.

Eine nicht korrekt gesicherte API kann Ihnen große Probleme bereiten. Stellen Sie also sicher, dass Sie nur mit seriösen Unternehmen zusammenarbeiten und Ihre sensiblen Daten niemals mit jemandem teilen, es sei denn, Sie sind absolut sicher, dass dies sicher ist.

Eine weitere Möglichkeit, sich vor API‑Lecks zu schützen, besteht darin, Ihre Anwendungen und Dienste stets aktuell zu halten und einen Plan für regelmäßige Updates zu haben. Auf diese Weise können Sie sicherstellen, dass neue Schwachstellen so schnell wie möglich gepatcht werden. Zusätzlich sollten Sie die Verwendung einer Web‑Application‑Firewall (WAF) in Betracht ziehen, um bösartige Anfragen zu blockieren.

Bewahren Sie Ihren API‑Schlüssel stets sicher und geschützt auf und speichern Sie ihn niemals an einem Ort, an dem er leicht kompromittiert werden könnte. Es ist wichtig, Ihre API‑Schlüssel regelmäßig zu ändern und sie niemandem zu teilen, auch nicht vertrauenswürdigen Personen. Wenn Sie sie teilen müssen, stellen Sie sicher, dass Sie dies über ein sicheres Verfahren wie eine passwortgeschützte Datei tun.

Falls Sie den Verdacht haben, dass Ihr API‑Schlüssel kompromittiert wurde, ändern Sie ihn sofort und benachrichtigen Sie Ihre Börse. Um sich weiter vor diesen Risiken zu schützen, ist es wichtig, Ihre Passwörter regelmäßig zu ändern und niemals dasselbe Passwort für mehrere Konten zu verwenden. Durch diese Vorsichtsmaßnahmen können Sie dazu beitragen, Ihr Konto sicher zu halten.

Abschließendes Wort

API‑Lecks sind nichts Neues. Tatsächlich gibt es sie schon seit geraumer Zeit. Und obwohl sie nicht die häufigste Form eines Datenlecks darstellen, können sie dennoch erheblichen Schaden anrichten. Das liegt daran, dass API‑Lecks Angreifern im Gegensatz zu anderen Arten von Datenlecks direkten Zugriff auf Ihre sensibelsten Daten ermöglichen.

Obwohl es nicht die einzige Möglichkeit ist, Geld zu verlieren, stellt es sicherlich ein großes Problem dar. Daher ist es wichtig, API‑Schlüssel im Handel verantwortungsbewusst zu nutzen, sich der potenziellen Risiken und Einschränkungen bewusst zu sein und die notwendigen Vorsichtsmaßnahmen zu ergreifen, um Ihr Geld und Ihre Informationen zu schützen.