3Commas API -vuoto korostaa vielä yhtä tapaa menettää rahasi

Nykyisessä digitaalisessa aikakaudessa on tärkeämpää kuin koskaan olla tietoinen verkon turvallisuusuhkien, kuten API‑vuotojen, mahdollisista riskeistä, sillä ne voivat johtaa henkilökohtaisten tietojen ja taloustietojen menetykseen.

API‑vuotoja tapahtuu, kun kolmas osapuoli käyttää yrityksen API:a (Application Programming Interface) ilman lupaa. Tämä voi tapahtua, jos yrityksen API ei ole kunnolla suojattu tai kun hackers pystyvät hyödyntämään järjestelmän haavoittuvuutta. Kun kolmannella osapuolella on pääsy yrityksen API:in, he voivat mahdollisesti päästä käsiksi arkaluonteisiin tietoihin, kuten asiakkaiden luottokorttitietoihin tai tilisaldoihin.

API‑vuodoilla voi olla vakavia seurauksia sekä yrityksille että kuluttajille. Yritykset voivat kohdata kalliita sakkoja ja korvauksia, jos asiakastiedot vaarantuvat, kun taas kuluttajat voivat kärsiä talouspetoksista tai henkilöllisyysvarkauksista. Sukelletaan siis syvemmälle ymmärtääksemme asiaa paremmin!

API-avaimen ymmärtäminen

API-avain on ainutlaatuinen tunniste, jota käytetään API‑pyyntöjen (Application Programming Interface) todennukseen. Se on tapa, jolla API tunnistaa pyynnön tekijän – kehittäjän tai järjestelmän – ja varmistaa, että vain valtuutetut pyynnöt käsitellään.

API-avaimia käytetään usein API:n käytön seuraamiseen ja hallintaan sekä varmistamaan, ettei API:ta väärin käytetä tai ylikuormiteta. Ne luodaan yleensä API:n tarjoajan toimesta, ja niihin liitetään usein salainen avain, jonka avulla API-avain voidaan todentaa ja varmistaa, että sitä käyttää valtuutettu lähde.

Jotta API, joka vaatii API-avaimen, voidaan käyttää, järjestelmän on sisällytettävä avain API:lle tehtäviin pyyntöihin. Tämä tehdään yleensä lisäämällä avain pyyntöotsakkeeseen tai kyselyparametrina pyyntö‑URL:iin.

API-avaimia on kahta tyyppiä: yksityisiä ja julkisia. Yksityiset API:t ovat yleensä saatavilla vain tietyille käyttäjäryhmille tai järjestelmille, ja niitä käytetään usein arkaluonteisten tai omistusoikeudellisten tietojen tai toiminnallisuuden hakemiseen. Julkiset API:t puolestaan tarjoavat pääsyn dataan tai toiminnallisuuteen, joka on yleisölle avoin. Julkisia API-avaimia myönnetään tyypillisesti kaikille kehittäjille tai järjestelmille, jotka haluavat käyttää API:a.

Miten niitä käytetään kaupankäynnissä?

API-avaimia käytetään usein kaupankäynnissä pääsemään käsiksi rahoituskaupankäyntialustoihin, kuten pörssiin tai cryptocurrency exchangeiin.

Ne mahdollistavat kehittäjien rakentaa sovelluksia, jotka voivat olla vuorovaikutuksessa kryptopörssien kanssa ja suorittaa kauppoja käyttäjän puolesta. Näillä avaimilla voidaan tarkastella tilitietoja, hakea reaaliaikaista markkinadataa, tehdä tilauksia ja hallita positioita, muiden asioiden ohella.

Ajatus on, että ihmiset eivät joudu tekemään vaikeaa työtä ajattelemalla tai toteuttamalla kauppoja itse. Sen sijaan kaikki tapahtuu välittömästi ja automaattisesti koodin avulla. Tämä kuitenkin muuttuu, kun väärät ihmiset saavat pääsyn API:hin, sillä se on kaikki, mitä he tarvitsevat aiheuttaakseen kaaosta.

Loppujen lopuksi API-avaimet luodaan yleensä pörssin toimesta, ja käyttäjän on annettava avain kaupankäyntiohjelmistolle päästäkseen API:iin.

API-avainten käytön vaarat kaupankäynnissä

Vaikka API-avaimet voivat olla erittäin käteviä, ne voivat myös aiheuttaa turvallisuusriskejä. Jos esimerkiksi API-avain vaarantuu, sitä voidaan käyttää luvattomaan tilin käyttöön tai kauppojen suorittamiseen käyttäjän puolesta ja varojen siirtämiseen.

Lisäksi, jos avainta käytetään arkaluonteisten taloustietojen, kuten tilisaldojen tai kauppahistorian, hakemiseen, sitä voidaan käyttää petokseen tai rikoksiin.

API‑vuotoja on usein vaikea havaita, koska ne tapahtuvat yleensä sovelluksen tai palvelun koodissa, eivät tietokannassa tai palvelimessa. Tämän vuoksi ne voivat jäädä huomaamatta pitkän aikaa.

3Commas API -vuoto

Vain viime viikolla spekuloitiin, että miljoonia dollareita arvokasta kryptoa oli varastettu kompromisoitujen API‑avainten kautta Viron pääkonttorissa toimivalta 3Commas‑kauppaalustalta, jonka takana oli Sam Bankman‑Friedin Alameda Research. Tällä viikolla yritys myönsi, että se oli API‑vuodon lähde.

3Commasin ilmoitus tuli sen jälkeen, kun anonyymi Twitter‑käyttäjä oli saanut käsiinsä noin 100 000 API‑avainta, jotka kuului kaupankäyntiohjelmiston käyttäjille, ja julkaisi yli 10 000 avainta verkossa sekä kertoi, että loput “julkaistaan täysinä [sic] satunnaisesti tulevina päivinä.”

Sen jälkeen 3Commas on pyytänyt tukevia kryptopörssejä, kuten Binancea, Kucoinia ja muita, perimään kaikki kaupankäyntialustaan kytketyt API‑avaimet.

Vuoto tapahtui sen jälkeen, kun kymmeniä 3Commas‑käyttäjiä väittivät, että heidän API‑avaimiaan on käytetty kauppojen suorittamiseen pörsseissä, kuten KuCoinissa ja Coinbase‑ssa, ilman heidän suostumustaan. Alusta vahvisti, että käyttäjät menettivät vähintään 6 miljoonaa dollaria hyökkääjille lokakuusta alkaen, ja summa on kaksinkertaistunut viime viikkoina.

Alun perin 3Commas väitti, ettei sen puolella ollut turvallisuusongelmaa ja että kalasteluhyökkäys oli saanut käyttäjät luovuttamaan tietonsa. Mutta tietovuoto osoittaa, että käyttäjien tunnistetiedot vuotivat kalastelun sijaan.

3Commas on suosittu kryptovaluutan kaupankäyntibotti, joka mahdollistaa käyttäjien automatisoida kaupankäyntinsä kolmansien osapuolten pörsseissä. Sovellus käyttää API‑avaimia käyttäjien tilien hakemiseen pörsseistä, ja näyttää siltä, että tämän viikon vuodossa paljastuneet API‑avaimet on luotu Binance‑ssa ja KuCoin‑ssa.

Block‑ketjun tutkijan @ZachXBT mukaan 44 uhria on menettänyt yhteensä 14,8 miljoonaa dollaria 3Commas‑avaimilla varastetuista varoista. Silloin 3Commasin toimitusjohtaja Yuri Sorokin väitti, että jos vuotaneet API‑avaimet olisivat tulleet 3Commas‑ilta, “olisit nähnyt miljoonia tapauksia, ei satoja.”

Yli miljoona avainta on kytketty 3Commasiin, mutta vain noin 100 käyttäjää on raportoitu kohtaavan ongelmia tileissään, Sorokin lisäsi. Tällä viikolla käyttäjät arvostelivat 3Commasia siitä, että se syytti omia käyttäjiään vastuusta sen sijaan, että olisi ottanut vastuun ja keskittynyt estämään lisähyökkäyksiä.

Ennen 3Commasin tämän viikon lausuntoa Binance‑n toimitusjohtaja Changpeng Zhao varoitti käyttäjiä sanoen: “Olen melko varma, että 3Commas‑sta on levinnyt laajamittaisia API‑avaimen vuotoja. Jos olet koskaan laittanut API‑avaimen 3Commasiin (mistä tahansa pörssistä), poista se välittömästi.”

3Commas kehottaa nyt käyttäjiä luomaan uusia API‑koodeja varotoimenpiteenä. Lisäksi he ovat päivittäneet sovellusta, jotta tulevat kalasteluhyökkäykset olisivat vaikeampia toteuttaa.

Sillä välin 3Commasin oikeudellinen tiimi kertoi lausunnossa, että yritys on palkkaamassa ulkopuolisia asiantuntijoita tarkistamaan koodinsa ja ratkaisemaan asiat lopullisesti käyttäjille.

“Vain murto-osa käyttäjistä on raportoitu epänormaalista toiminnasta 3Commasille. 99,9 % 3Commas‑tietokantaan tallennetuista API‑avaimista ei ole joutunut hyökkäysten kohteeksi,” oikeudellinen tiimi lisäsi.

Suojatoimet

Nykymaailmassa API:n suojaaminen on tärkeämpää kuin koskaan, koska se tarjoaa suoran pääsyn sovelluksiin ja tietoihin. Et voi yksinkertaisesti sanoa, että API:si on tänään turvallinen. API‑turvallisuus on nyt tarpeellisempaa kuin koskaan.

API:n turvaamatta jättäminen voi aiheuttaa suuria ongelmia. Varmista siis, että teet yhteistyötä vain luotettavien yritysten kanssa, äläkä koskaan jaa arkaluonteisia tietojasi kenellekään, ellei ole täysin varmaa, että se on turvallista.

Toinen tapa suojautua API‑vuodoilta on pitää sovelluksesi ja palvelusi ajan tasalla sekä laatia säännöllinen päivityssuunnitelma. Näin voit varmistaa, että kaikki uudet haavoittuvuudet korjataan mahdollisimman nopeasti. Lisäksi kannattaa harkita web‑sovelluksen palomuurin (WAF) käyttöä haitallisten pyyntöjen estämiseksi.

Pidä API‑avaimesi aina turvassa eikä missään helposti vaarantuvassa paikassa. On tärkeää vaihtaa API‑avaimet säännöllisesti eikä jakaa niitä kenellekään, ei edes luotetuille. Jos joudut jakamaan ne, varmista, että teet sen turvallisella tavalla, kuten salasanalla suojatulla tiedostolla.

Jos epäilet, että API‑avaimesi on vaarantunut, vaihda se välittömästi ja ilmoita siitä pörssillesi. Suojautuaksesi näiltä riskeiltä on tärkeää vaihtaa salasanat säännöllisesti äläkä koskaan käytä samaa salasanaa useassa tilissä. Näiden varotoimien avulla voit pitää tilisi turvassa ja suojattuna.

Lopullinen sana

API‑vuodot eivät ole mitään uutta. Ne ovat itse asiassa olleet olemassa jo pitkään. Vaikka ne eivät olekaan yleisin tietovuodon muoto, ne voivat silti olla varsin vahingollisia. Tämä johtuu siitä, että toisin kuin muut tietovuodot, API‑vuodot antavat hyökkääjille suoran pääsyn kaikkein arkaluonteisimpiin tietoihisi.

Vaikka se ei ole ainoa tapa menettää rahaa, se on ehdottomasti merkittävä huolenaihe. Siksi on tärkeää käyttää API‑avaimia kaupankäynnissä vastuullisesti, olla tietoinen niiden mahdollisista riskeistä ja rajoituksista, sekä varmistaa, että otat tarvittavat varotoimet suojellaksesi rahojasi ja tietojasi.