La fuga di API di 3Commas evidenzia un altro modo per perdere i tuoi soldi

Nell’era digitale odierna, è più importante che mai essere consapevoli dei potenziali rischi di violazioni della sicurezza online, come le fughe di API, poiché possono portare alla perdita di informazioni personali e dati finanziari.

Le fughe di API si verificano quando una terza parte accede all’API di un’azienda (Application Programming Interface) senza autorizzazione. Questo può accadere quando l’API di un’azienda non è adeguatamente protetta, o quando gli hacker riescono a sfruttare una vulnerabilità nel sistema. E una volta che una terza parte ha accesso all’API di un’azienda, può potenzialmente accedere a dati sensibili, come le informazioni delle carte di credito dei clienti o i saldi dei conti.

Le fughe di API possono avere conseguenze gravi sia per le aziende che per i consumatori. Le aziende possono affrontare multe ingenti e danni se i dati dei clienti vengono compromessi, mentre i consumatori possono subire frodi finanziarie o furti d’identità. Quindi, approfondiamo per comprenderle meglio!

Comprendere la chiave API

Una chiave API è un identificatore unico utilizzato per autenticare le richieste a un’API (Application Programming Interface). È un modo per l’API di identificare lo sviluppatore o il sistema che effettua la richiesta e di garantire che vengano elaborate solo le richieste autorizzate.

Le chiavi API sono spesso usate per monitorare e controllare l’utilizzo di un’API, e per garantire che l’API non venga abusata o sovrautilizzata. Di solito sono generate dal fornitore dell’API e sono spesso accompagnate da una chiave segreta per autenticare la chiave API e assicurare che sia utilizzata da una fonte autorizzata.

Per utilizzare un’API che richiede una chiave API, il sistema deve includere la chiave nelle richieste inviate all’API. Questo di solito avviene includendo la chiave nell’intestazione della richiesta o come parametro di query nell’URL della richiesta.

Esistono due tipi di chiavi API: private e pubbliche. Le API private sono solitamente accessibili solo a un gruppo specifico di utenti o sistemi e sono spesso usate per accedere a dati o funzionalità sensibili o proprietarie. Le API pubbliche, invece, sono spesso utilizzate per accedere a dati o funzionalità disponibili al pubblico generale. Le chiavi API pubbliche sono tipicamente rilasciate a qualsiasi sviluppatore o sistema che desideri utilizzare l’API.

Come vengono utilizzate nel trading?

Le chiavi API sono spesso usate nel trading per accedere a una piattaforma di trading finanziario, come una borsa valori o un exchange di criptovalute.

Permettono agli sviluppatori di creare applicazioni che possono interagire con gli exchange di criptovalute ed eseguire operazioni per conto dell’utente. Possono quindi essere usate per visualizzare le informazioni dell’account, recuperare dati di mercato in tempo reale, piazzare ordini e gestire le posizioni, tra le altre cose.

L’idea è che gli esseri umani non debbano fare il lavoro difficile di pensare o eseguire le proprie operazioni. Invece, tutto viene fatto istantaneamente e automaticamente tramite codice. Ma ciò vale finché le persone sbagliate non ottengono l’accesso alle API, poiché è tutto ciò di cui hanno bisogno per scatenare il caos.

Dopotutto, le chiavi API sono tipicamente generate dall’exchange e l’utente deve fornire la chiave al software di trading per accedere all’API.

Pericoli dell’uso delle chiavi API nel trading

Sebbene le chiavi API possano essere molto comode, possono anche rappresentare un rischio per la sicurezza. Ad esempio, se una chiave API viene compromessa, può essere usata per ottenere accesso non autorizzato a un account o per eseguire operazioni per conto dell’utente e sottrarre fondi.

Inoltre, se la chiave viene usata per accedere a informazioni finanziarie sensibili, come i saldi dei conti o la cronologia delle operazioni, potrebbe essere usata per truffarti o commettere altri reati.

Inoltre, le fughe di API sono spesso difficili da rilevare, poiché si verificano spesso all’interno del codice di un’applicazione o servizio, piuttosto che nel database o nel server. Di conseguenza, possono rimanere non rilevate per un periodo piuttosto lungo.

Fuga di API di 3Commas

Solo la scorsa settimana, si è ipotizzato che milioni di dollari in criptovalute fossero stati rubati tramite chiavi API compromesse dalla piattaforma di trading con sede in Estonia, 3Commas, sostenuta da Alameda Research di Sam Bankman-Fried. Questa settimana, l’azienda ha ammesso di essere la fonte della fuga di API.

L’annuncio di 3Commas è arrivato dopo che un utente anonimo di Twitter ha ottenuto circa 100.000 chiavi API appartenenti agli utenti del fornitore del software di trading e ha pubblicato online oltre 10.000 delle chiavi, affermando che il resto “sarà pubblicato interamente [sic] in modo casuale nei prossimi giorni.”

Da allora, 3Commas ha chiesto agli exchange di criptovalute supportati, come Binance, Kucoin e altri, di revocare tutte le chiavi API collegate alla piattaforma di trading.

La fuga si è verificata dopo che decine di utenti di 3Commas hanno affermato che le loro chiavi API erano state usate per eseguire operazioni su exchange come KuCoin e Coinbase senza il loro consenso. La piattaforma ha confermato che gli utenti hanno perso almeno 6 milioni di dollari a causa di attaccanti a partire da ottobre, ma tale somma è raddoppiata nelle ultime settimane.

Inizialmente, 3Commas aveva insistito sul fatto che non vi fosse alcun problema di sicurezza da parte sua e che un attacco di phishing avesse indotto gli utenti a cedere i propri dati. Tuttavia, il dump di dati mostra che le credenziali degli utenti sono state trapelate piuttosto che rubate tramite phishing.

3Commas è un popolare bot di trading di criptovalute che consente agli utenti di automatizzare il loro trading su exchange di terze parti. L’app utilizza le chiavi API per accedere agli account degli utenti sugli exchange, e sembra che le chiavi API incluse nella fuga di questa settimana siano state generate su Binance e KuCoin.

Secondo il ricercatore blockchain @ZachXBT, un gruppo di 44 vittime ha perso un totale di 14,8 milioni di dollari a causa di chiavi API rubate da 3Commas. All’epoca, l’amministratore delegato di 3Commas, Yuri Sorokin, ha sostenuto che se le chiavi API trapelate fossero state di 3Commas, “avreste visto milioni di casi, non una centinaia.”

Ci sono più di 1 milione di chiavi collegate a 3Commas, ma solo circa 100 utenti hanno segnalato problemi con i loro account, ha aggiunto Sorokin. Questa settimana, gli utenti hanno criticato 3Commas per aver incolpato i propri utenti invece di assumersi la responsabilità e concentrarsi sulla prevenzione di ulteriori exploit.

Prima della dichiarazione di 3Commas di questa settimana, il CEO di Binance, Changpeng Zhao, ha avvertito gli utenti, dicendo: “Sono ragionevolmente sicuro che ci siano ampie fughe di chiavi API da 3Commas. Se hai mai inserito una chiave API in 3Commas (da qualsiasi exchange), disattivala immediatamente.”

3Commas ora incoraggia gli utenti a generare nuovi codici API per precauzione. Inoltre, hanno aggiornato l’app per rendere più difficili le future truffe di phishing.

Nel frattempo, il team legale di 3Commas ha dichiarato in una nota che l’azienda è in procinto di assumere esperti esterni per revisionare il suo codice e risolvere definitivamente la questione per gli utenti.

“Solo una minuscola frazione di utenti ha segnalato attività anomala a 3Commas. Il 99,9% delle chiavi API memorizzate nel database di 3Commas non è stato colpito dagli attacchi,” ha aggiunto il team legale.

Misure di protezione

Nel mondo odierno, proteggere la tua API è più importante che mai, a causa dell’accesso diretto che fornisce a applicazioni e dati. Non puoi semplicemente dire che la tua API è sicura oggi. La sicurezza delle API è necessaria più che mai.

Non proteggere correttamente un’API potrebbe metterti nei guai. Pertanto, assicurati di fare affari solo con aziende affidabili e non condividere mai i tuoi dati sensibili con nessuno, a meno che tu non sia assolutamente sicuro che sia sicuro farlo.

Un altro modo per proteggersi dalle fughe di API è mantenere le tue applicazioni e servizi aggiornati e avere un piano per aggiornarli regolarmente. In questo modo, puoi garantire che eventuali nuove vulnerabilità vengano corrette il prima possibile. Inoltre, dovresti considerare l’uso di un firewall per applicazioni web (WAF) per aiutare a bloccare richieste malevole.

Mantieni sempre la tua chiave API al sicuro e protetta, e non conservarla mai in un luogo dove possa essere facilmente compromessa. È importante cambiare regolarmente le tue chiavi API e non condividerle con nessuno, nemmeno con chi ti è vicino. Se devi condividerle, assicurati di farlo usando un metodo sicuro, come un file protetto da password.

Se sospetti che la tua chiave API sia stata compromessa, cambiala immediatamente e avvisa il tuo exchange. Per proteggerti ulteriormente da questi rischi, è importante cambiare regolarmente le tue password e non usare la stessa password per più account. Prendendo queste precauzioni, puoi contribuire a mantenere il tuo account sicuro e protetto.

Parola finale

Le fughe di API non sono una novità. In realtà, esistono da tempo. E sebbene non siano la forma più comune di perdita di dati, possono comunque essere molto dannose. Questo perché, a differenza di altri tipi di perdite di dati, le fughe di API possono dare agli aggressori accesso diretto ai tuoi dati più sensibili.

Sebbene non sia l’unico modo per perdere denaro, è certamente una preoccupazione importante. Pertanto, è fondamentale utilizzare le chiavi API nel trading in modo responsabile, essere consapevoli dei potenziali rischi e delle limitazioni del loro utilizzo, e assicurarsi di prendere le precauzioni necessarie per proteggere i propri soldi e le proprie informazioni.