3Commas API漏洩が示す、資金を失うもう一つの方法

デジタル時代の今日、API漏洩のようなオンラインセキュリティ侵害の潜在的リスクに注意することがかつてないほど重要です。これらは個人情報や財務データの喪失につながる可能性があります。

API漏洩は、第三者が許可なく企業のAPI（アプリケーションプログラミングインターフェース）にアクセスしたときに発生します。企業のAPIが適切に保護されていない場合や、ハッカーがシステムの脆弱性を悪用できる場合に起こります。そして、一度第三者が企業のAPIにアクセスすると、顧客のクレジットカード情報や口座残高などの機密データにアクセスできる可能性があります。

API漏洩は、企業と消費者の双方に深刻な影響を及ぼす可能性があります。顧客データが漏洩すれば、企業は多額の罰金や損害賠償に直面し、消費者は金融詐欺や身元盗用の被害に遭うことがあります。そこで、より詳しく理解するために深掘りしてみましょう！

APIキーの理解

APIキーは、API（アプリケーションプログラミングインターフェース）へのリクエストを認証するために使用される固有の識別子です。APIはこのキーを用いてリクエストを行う開発者やシステムを特定し、許可されたリクエストのみが処理されることを保証します。

APIキーは、APIの使用状況を追跡・制御し、濫用や過剰利用を防止するために使用されます。通常、APIプロバイダーがキーを生成し、シークレットキーと組み合わせてAPIキーの認証と、許可されたソースからの使用であることを確認します。

APIキーが必要なAPIを利用するには、システムはリクエストにキーを含める必要があります。通常はリクエストヘッダーにキーを入れるか、リクエストURLのクエリパラメータとして付加します。

APIキーには2種類あります: プライベートとパブリックです。プライベートAPIは通常、特定のユーザーやシステムのみがアクセスでき、機密データや独自機能へのアクセスに使用されます。一方、パブリックAPIは一般に公開されており、データや機能を広く利用できるように提供されます。パブリックAPIキーは、APIを利用したい開発者やシステムに対して発行されます。

取引での使用方法

APIキーは、株式取引所や暗号通貨取引所などの金融取引プラットフォームにアクセスするために、取引で頻繁に使用されます。

これにより、開発者は暗号取引所と連携し、ユーザーに代わって取引を実行できるアプリケーションを構築できます。また、口座情報の閲覧、リアルタイムの市場データ取得、注文の発注、ポジションの管理などにも利用されます。

この考え方は、人間が取引の思考や実行という手間を省き、すべてがコードによって即座に自動化されることです。しかし、悪意のある者がAPIにアクセスできるようになると、混乱を引き起こすだけの材料が揃ってしまいます。

結局のところ、APIキーは通常取引所が生成し、ユーザーは取引ソフトウェアにキーを提供して初めてAPIにアクセスできます。

取引におけるAPIキー使用の危険性

APIキーは非常に便利ですが、同時にセキュリティリスクも伴います。例えば、APIキーが漏洩すると、アカウントへの不正アクセスやユーザーに代わって取引を実行し、資金を流出させることが可能になります。

さらに、キーを用いて口座残高や取引履歴といった機密金融情報にアクセスできる場合、詐欺やその他の犯罪に悪用される恐れがあります。

加えて、API漏洩はコード内部で発生することが多く、データベースやサーバー上で直接検知されるわけではないため、発見が困難です。その結果、かなりの期間検出されずに放置されることがあります。

3Commas API漏洩

先週、エストニア拠点の取引プラットフォーム3Commas（サム・バンクマン＝フリードのAlameda Researchが支援）から、数百万ドル相当の暗号資産が侵害されたAPIキーを通じて盗まれたと推測されました。今週、同社はこのAPI漏洩の原因が自社にあることを認めました。

3Commasの発表は、匿名のTwitterユーザーが同取引ソフトウェア提供者のユーザー約10万件のAPIキーを取得し、そのうち1万件以上をオンラインで公開し、残りは「今後数日でランダムに全て公開される」と述べたことを受けて行われました。

それ以降、3CommasはBinance、KuCoinなどの提携暗号取引所に対し、同プラットフォームに接続されたすべてのAPIキーの取り消しを要請しています。

この漏洩は、数十人の3Commasユーザーが自分のAPIキーが同意なしにKuCoinやCoinbaseなどの取引所で取引実行に使用されたと主張したことを受けて起きました。プラットフォームは、ユーザーが10月以降に攻撃者により最低600万ドルを失ったと確認していますが、最近数週間でその額は倍増しています。

当初、3Commasは自社にセキュリティ問題はなく、フィッシング攻撃によりユーザーがデータを提供したと主張していました。しかし、データ流出はユーザーの認証情報が漏洩したことを示しており、フィッシングではありませんでした。

3Commasは、ユーザーがサードパーティ取引所での取引を自動化できる人気の暗号通貨取引ボットです。このアプリは取引所上のユーザーアカウントにアクセスするためにAPIキーを使用しており、今週の漏洩に含まれたAPIキーはBinanceとKuCoinで生成されたものと思われます。

ブロックチェーン調査員@ZachXBTによると、44人の被害者が3Commasから盗まれたAPIキーにより合計1480万ドルを失ったとされています。当時、3CommasのCEOユリ・ソロキンは、もし漏洩したAPIキーが3Commas由来であれば「数百万件のケースが出るはずで、数百件ではない」と主張しました。

3Commasに接続されたキーは100万件以上ありますが、問題を報告したユーザーは約100人に過ぎないとソロキンは付け加えました。今週、ユーザーは3Commasが自社ユーザーを非難し、責任を取ってさらなる悪用防止に注力しないことを批判しました。

今週の3Commasの声明が出る前に、BinanceのCEOチャンペン・ザオはユーザーに警告し、次のように述べました: 「3Commasから広範なAPIキー漏洩があるとかなり確信しています。もし過去に3Commasに（どの取引所でも）APIキーを設定したことがあるなら、直ちに無効化してください。」

3Commasは現在、予防策としてユーザーに新しいAPIコードの生成を促しています。さらに、将来のフィッシング詐欺を実行しにくくするためにアプリのアップデートも行いました。

一方、3Commasの法務チームは声明で、同社がコードをレビューし、ユーザーに対して最終的に解決するために外部専門家を雇用するプロセスにあると述べました。

「異常な活動を報告したユーザーはごくわずかです。3Commasデータベースに保存されているAPIキーの99.9％は攻撃の影響を受けていません」と法務チームは付け加えました。

保護対策

現在の世界では、APIがアプリケーションやデータへ直接アクセスできるため、APIの保護がかつてないほど重要です。単に「APIは安全だ」と言うだけでは不十分です。APIセキュリティは今こそ必要です。

APIを適切に保護しないと、多大なトラブルに巻き込まれます。そのため、信頼できる企業とだけ取引し、絶対に安全だと確信できない限り、機密データを誰にも共有しないようにしてください。

API漏洩から守る別の方法は、アプリケーションやサービスを常に最新の状態に保ち、定期的に更新する計画を立てることです。これにより、新たな脆弱性が発見された際に速やかにパッチを適用できます。また、悪意あるリクエストをブロックするためにWebアプリケーションファイアウォール（WAF）の導入も検討すべきです。

常にAPIキーを安全に保管し、簡単に漏洩する場所に保存しないでください。APIキーは定期的に変更し、信頼できる相手でさえも共有しないことが重要です。どうしても共有が必要な場合は、パスワードで保護されたファイルなど安全な方法で行ってください。

APIキーが漏洩した疑いがある場合は、直ちにキーを変更し、取引所に通知してください。また、リスクから身を守るためにパスワードも定期的に変更し、複数のアカウントで同一パスワードを使用しないことが重要です。これらの対策を講じることで、アカウントを安全に保つことができます。

最終的な結論

API漏洩は新しい現象ではありません。実際、かなり前から存在しています。データ漏洩の中で最も一般的な形態ではないかもしれませんが、依然として大きな被害をもたらす可能性があります。これは、他のデータ漏洩とは異なり、API漏洩が攻撃者に最も機密性の高いデータへの直接アクセスを与えるためです。

資金を失う唯一の手段ではありませんが、確かに大きな懸念事項です。したがって、取引においてAPIキーを責任を持って使用し、その潜在的リスクや制限を認識し、資金と情報を保護するために必要な予防策を必ず講じることが重要です。