Διαρροή API του 3Commas Αναδεικνύει Μια Άλλη Μέθοδο για να Χάσετε τα Χρήματά Σας

Στη σημερινή ψηφιακή εποχή, είναι πιο σημαντικό από ποτέ να είμαστε ενήμεροι για τους πιθανούς κινδύνους παραβίασης της ασφάλειας στο διαδίκτυο, όπως οι διαρροές API, καθώς μπορούν να οδηγήσουν στην απώλεια προσωπικών πληροφοριών και οικονομικών δεδομένων.

Οι διαρροές API συμβαίνουν όταν ένα τρίτο μέρος αποκτά πρόσβαση στο API (Διεπαφή Προγραμματισμού Εφαρμογών) μιας εταιρείας χωρίς άδεια. Αυτό μπορεί να συμβεί όταν το API της εταιρείας δεν είναι σωστά ασφαλισμένο, ή όταν οι χάκερς μπορούν να εκμεταλλευτούν μια ευπάθεια στο σύστημα. Και μόλις ένα τρίτο μέρος έχει πρόσβαση στο API της εταιρείας, μπορεί ενδεχομένως να έχει πρόσβαση σε ευαίσθητα δεδομένα, όπως πληροφορίες πιστωτικών καρτών πελατών ή υπόλοιπα λογαριασμών.

Οι διαρροές API μπορούν να έχουν σοβαρές συνέπειες τόσο για τις εταιρείες όσο και για τους καταναλωτές. Οι εταιρείες μπορεί να αντιμετωπίσουν μεγάλα πρόστιμα και αποζημιώσεις εάν τα δεδομένα των πελατών παραβιαστούν, ενώ οι καταναλωτές μπορεί να υποστούν οικονομική απάτη ή κλοπή ταυτότητας. Ας εμβαθύνουμε λοιπόν για να το κατανοήσουμε καλύτερα!

Κατανόηση του Κλειδιού API

Ένα κλειδί API είναι ένα μοναδικό αναγνωριστικό που χρησιμοποιείται για την πιστοποίηση των αιτήσεων προς ένα API (Διεπαφή Προγραμματισμού Εφαρμογών). Είναι ένας τρόπος για το API να αναγνωρίζει τον προγραμματιστή ή το σύστημα που κάνει την αίτηση και να διασφαλίζει ότι μόνο εξουσιοδοτημένες αιτήσεις επεξεργάζονται.

Τα κλειδιά API χρησιμοποιούνται συχνά για την παρακολούθηση και τον έλεγχο της χρήσης ενός API, καθώς και για τη διασφάλιση ότι το API δεν καταχράται ή δεν υπερφορτώνεται. Συνήθως δημιουργούνται από τον πάροχο του API και συχνά συνοδεύονται από ένα μυστικό κλειδί για την πιστοποίηση του κλειδιού API και τη διασφάλιση ότι χρησιμοποιείται από εξουσιοδοτημένη πηγή.

Για να χρησιμοποιηθεί ένα API που απαιτεί κλειδί API, το σύστημα πρέπει να συμπεριλάβει το κλειδί στις αιτήσεις που γίνονται προς το API. Αυτό συνήθως γίνεται με την ένθεση του κλειδιού στην κεφαλίδα της αίτησης ή ως παράμετρο ερωτήματος στη διεύθυνση URL της αίτησης.

Υπάρχουν δύο τύποι κλειδιών API: ιδιωτικά και δημόσια. Τα ιδιωτικά API είναι συνήθως προσβάσιμα μόνο σε συγκεκριμένη ομάδα χρηστών ή συστημάτων και χρησιμοποιούνται συχνά για πρόσβαση σε ευαίσθητα ή ιδιόκτητα δεδομένα ή λειτουργίες. Τα δημόσια API, από την άλλη, χρησιμοποιούνται συχνά για πρόσβαση σε δεδομένα ή λειτουργίες που είναι διαθέσιμα στο ευρύ κοινό. Τα δημόσια κλειδιά API εκδίδονται συνήθως σε οποιονδήποτε προγραμματιστή ή σύστημα που θέλει να χρησιμοποιήσει το API.

Πώς χρησιμοποιούνται στο trading;

Τα κλειδιά API χρησιμοποιούνται συχνά στο trading για πρόσβαση σε μια χρηματοοικονομική πλατφόρμα συναλλαγών, όπως ένα χρηματιστήριο ή μια ανταλλαγή κρυπτονομισμάτων.

Επιτρέπουν στους προγραμματιστές να δημιουργούν εφαρμογές που μπορούν να αλληλεπιδρούν με ανταλλαγές κρυπτονομισμάτων και να εκτελούν συναλλαγές εκ μέρους του χρήστη. Στη συνέχεια μπορούν να χρησιμοποιηθούν για προβολή πληροφοριών λογαριασμού, ανάκτηση δεδομένων αγοράς σε πραγματικό χρόνο, τοποθέτηση εντολών και διαχείριση θέσεων, μεταξύ άλλων.

Η ιδέα είναι ότι οι άνθρωποι δεν χρειάζεται να κάνουν τη δύσκολη δουλειά του να σκέφτονται ή να εκτελούν τις συναλλαγές τους. Αντίθετα, όλα γίνονται άμεσα και αυτόματα μέσω κώδικα. Αλλά αυτό ισχύει μέχρι να αποκτήσουν πρόσβαση στα APIs άτομα που δεν πρέπει, καθώς αυτό είναι ό,τι χρειάζονται για να προκαλέσουν χάος.

Τελικά, τα κλειδιά API συνήθως δημιουργούνται από το χρηματιστήριο, και ο χρήστης πρέπει να παρέχει το κλειδί στο λογισμικό trading για να έχει πρόσβαση στο API.

Κίνδυνοι της Χρήσης Κλειδιών API στο Trading

Παρόλο που τα κλειδιά API μπορούν να είναι πολύ βολικά, μπορούν επίσης να αποτελέσουν κίνδυνο ασφαλείας. Για παράδειγμα, εάν ένα κλειδί API παραβιαστεί, μπορεί να χρησιμοποιηθεί για μη εξουσιοδοτημένη πρόσβαση σε λογαριασμό ή για εκτέλεση συναλλαγών εκ μέρους του χρήστη και αποστράγγιση κεφαλαίων.

Επίσης, εάν το κλειδί χρησιμοποιείται για πρόσβαση σε ευαίσθητες οικονομικές πληροφορίες, όπως υπόλοιπα λογαριασμών ή ιστορικό συναλλαγών, θα μπορούσε να χρησιμοποιηθεί για εξαπάτηση ή άλλες εγκληματικές ενέργειες.

Επιπλέον, οι διαρροές API είναι συχνά δύσκολο να εντοπιστούν, καθώς συμβαίνουν συχνά μέσα στον κώδικα μιας εφαρμογής ή υπηρεσίας, αντί στη βάση δεδομένων ή τον διακομιστή. Ως εκ τούτου, μπορούν να παραμείνουν αδιέξοδες για αρκετό χρονικό διάστημα.

Διαρροή API του 3Commas

Μόλις την περασμένη εβδομάδα, υπήρξε εικασία ότι εκατομμύρια δολάρια αξίας κρυπτονομισμάτων είχαν κλαπεί μέσω παραβιασμένων κλειδιών API από την εμπορική πλατφόρμα 3Commas με έδρα την Εσθονία, η οποία υποστηριζόταν από το Alameda Research του Sam Bankman-Fried. Αυτή την εβδομάδα, η εταιρεία παραδέχτηκε ότι ήταν η πηγή της διαρροής API.

Η ανακοίνωση του 3Commas ήρθε μετά από έναν ανώνυμο χρήστη του Twitter που απέκτησε περίπου 100.000 κλειδιά API που ανήκαν στους χρήστες του παρόχου λογισμικού trading και δημοσίευσε πάνω από 10.000 από τα κλειδιά online, λέγοντας ότι τα υπόλοιπα «θα δημοσιευτούν πλήρως [sic] τυχαία τις επόμενες ημέρες».

Από τότε, το 3Commas ζήτησε από τις υποστηριζόμενες ανταλλαγές κρυπτονομισμάτων όπως το Binance, το Kucoin και άλλες να ανακαλέσουν όλα τα κλειδιά API που ήταν συνδεδεμένα με την πλατφόρμα trading.

Η διαρροή ήρθε μετά από δεκάδες χρήστες του 3Commas που ισχυρίστηκαν ότι τα κλειδιά API τους χρησιμοποιήθηκαν για εκτέλεση συναλλαγών σε ανταλλαγές όπως το KuCoin και το Coinbase χωρίς τη συγκατάθεσή τους. Η πλατφόρμα επιβεβαίωσε ότι οι χρήστες έχασαν τουλάχιστον 6 εκατομμύρια δολάρια σε επιτιθέμενους από τον Οκτώβριο, αλλά το ποσό αυτό έχει διπλασιαστεί τις τελευταίες εβδομάδες.

Αρχικά, το 3Commas επέμεινε ότι δεν υπήρχε πρόβλημα ασφαλείας από την πλευρά του και ότι μια επίθεση phishing προκάλεσε τους χρήστες να παραδώσουν τα δεδομένα τους. Ωστόσο, η διαρροή δεδομένων δείχνει ότι τα διαπιστευτήρια των χρηστών διαρρέθηκαν αντί να υποκλαπούν μέσω phishing.

Το 3Commas είναι ένα δημοφιλές bot συναλλαγών κρυπτονομισμάτων που επιτρέπει στους χρήστες να αυτοματοποιούν το trading τους σε ανταλλαγές τρίτων. Η εφαρμογή χρησιμοποιεί κλειδιά API για πρόσβαση στους λογαριασμούς των χρηστών στις ανταλλαγές, και φαίνεται ότι τα κλειδιά API που περιλαμβάνονται στη διαρροή αυτής της εβδομάδας δημιουργήθηκαν στο Binance και το KuCoin.

Σύμφωνα με τον ερευνητή blockchain @ZachXBT, μια ομάδα 44 θυμάτων έχασε συνολικά 14,8 εκατομμύρια δολάρια μέσω κλειδιών API που κλάπηκαν από το 3Commas. Τότε, ο διευθύνων σύμβουλος του 3Commas, Yuri Sorokin, υποστήριξε ότι αν τα διαρροηθέντα κλειδιά API είχαν προέλευση από το 3Commas, «θα είχατε δει εκατομμύρια περιπτώσεις, όχι εκατό».

Υπάρχουν πάνω από 1 εκατομμύριο κλειδιά συνδεδεμένα με το 3Commas, αλλά μόνο περίπου 100 χρήστες ανέφεραν προβλήματα με τους λογαριασμούς τους, πρόσθεσε ο Sorokin. Αυτή την εβδομάδα, οι χρήστες κατηγόρησαν το 3Commas για το ότι κατηγορεί τους δικούς του χρήστες αντί να αναλάβει την ευθύνη και να εστιάσει στην πρόληψη περαιτέρω εκμεταλλεύσεων.

Πριν την ανακοίνωση του 3Commas αυτή την εβδομάδα, ο διευθύνων σύμβουλος του Binance, Changpeng Zhao, προειδοποίησε τους χρήστες, λέγοντας: «Είμαι λογικά σίγουρος ότι υπάρχουν εκτεταμένες διαρροές κλειδιών API από το 3Commas. Εάν έχετε ποτέ τοποθετήσει ένα κλειδί API στο 3Commas (από οποιαδήποτε ανταλλαγή), παρακαλώ απενεργοποιήστε το αμέσως».

Το 3Commas τώρα ενθαρρύνει τους χρήστες να δημιουργήσουν νέους κωδικούς API ως προφύλαξη. Επιπλέον, έχουν επίσης ενημερώσει την εφαρμογή ώστε οι μελλοντικές επιθέσεις phishing να είναι πιο δύσκολες να πραγματοποιηθούν.

Εν τω μεταξύ, η νομική ομάδα του 3Commas δήλωσε σε ανακοίνωση ότι η εταιρεία βρίσκεται στη διαδικασία πρόσληψης εξωτερικών ειδικών για την αξιολόγηση του κώδικά της και την επίλυση των θεμάτων οριστικά για τους χρήστες.

«Μόνο ένα ελάχιστο κλάσμα των χρηστών ανέφερε ανώμαλη δραστηριότητα στο 3Commas. Το 99,9% των κλειδιών API που αποθηκεύονται στη βάση δεδομένων του 3Commas δεν έχουν επηρεαστεί από τις επιθέσεις», πρόσθεσε η νομική ομάδα.

Μέτρα Προστασίας

Στον σημερινό κόσμο, η προστασία του API σας είναι πιο σημαντική από ποτέ, λόγω της άμεσης πρόσβασης που παρέχει σε εφαρμογές και δεδομένα. Δεν μπορείτε απλώς να πείτε ότι το API σας είναι ασφαλές σήμερα. Η ασφάλεια του API είναι απαραίτητη τώρα περισσότερο από ποτέ.

Η μη σωστή ασφάλιση ενός API μπορεί να σας φέρει σε πολλά προβλήματα. Έτσι, βεβαιωθείτε ότι συνεργάζεστε μόνο με αξιόπιστες εταιρείες και μην μοιράζεστε ποτέ τα ευαίσθητα δεδομένα σας με κανέναν, εκτός εάν είστε απολύτως σίγουροι ότι είναι ασφαλές.

Ένας άλλος τρόπος για να προστατευτείτε από διαρροές API είναι να διατηρείτε τις εφαρμογές και τις υπηρεσίες σας ενημερωμένες και να έχετε σχέδιο τακτικής ενημέρωσης. Με αυτόν τον τρόπο, μπορείτε να διασφαλίσετε ότι τυχόν νέες ευπάθειες θα διορθωθούν το συντομότερο δυνατό. Επιπλέον, θα πρέπει να εξετάσετε τη χρήση ενός τείχους προστασίας web εφαρμογών (WAF) για να βοηθήσετε στην αποτροπή κακόβουλων αιτήσεων.

Διατηρείτε πάντα το κλειδί API ασφαλές και προστατευμένο, και μην το αποθηκεύετε ποτέ σε θέση όπου θα μπορούσε να διαρρεύσει εύκολα. Είναι σημαντικό να αλλάζετε τα κλειδιά API σας τακτικά και να μην τα μοιράζεστε με κανέναν, ούτε καν με αυτούς που εμπιστεύεστε. Εάν πρέπει να τα μοιραστείτε, βεβαιωθείτε ότι το κάνετε με ασφαλή μέθοδο, όπως ένα αρχείο προστατευμένο με κωδικό.

Εάν ποτέ υποψιάζεστε ότι το κλειδί API σας έχει παραβιαστεί, αλλάξτε το αμέσως και ενημερώστε το χρηματιστήριό σας. Για να προστατευτείτε περαιτέρω από αυτούς τους κινδύνους, είναι σημαντικό να αλλάζετε τους κωδικούς πρόσβασής σας τακτικά και να μην χρησιμοποιείτε τον ίδιο κωδικό για πολλούς λογαριασμούς. Λαμβάνοντας αυτές τις προφυλάξεις, μπορείτε να βοηθήσετε στη διασφάλιση του λογαριασμού σας.

Τελευταίο Λόγο

Οι διαρροές API δεν είναι κάτι νέο. Στην πραγματικότητα, υπάρχουν εδώ και αρκετό καιρό. Και ενώ μπορεί να μην είναι η πιο συνηθισμένη μορφή διαρροής δεδομένων, μπορούν ακόμη να είναι πολύ επιζήμιες. Αυτό συμβαίνει επειδή, σε αντίθεση με άλλες μορφές διαρροής δεδομένων, οι διαρροές API μπορούν να δώσουν στους επιτιθέμενους άμεση πρόσβαση στα πιο ευαίσθητα δεδομένα σας.

Αν και δεν είναι ο μοναδικός τρόπος για να χάσετε χρήματα, αποτελεί σίγουρα σημαντική ανησυχία. Έτσι, είναι σημαντικό να χρησιμοποιείτε τα κλειδιά API στο trading με υπευθυνότητα, να γνωρίζετε τους πιθανούς κινδύνους και περιορισμούς της χρήσης τους, και να βεβαιωθείτε ότι λαμβάνετε τις απαραίτητες προφυλάξεις για να προστατεύσετε τα χρήματά σας και τις πληροφορίες σας.