3Commas API-lek benadrukt nog een manier om uw geld te verliezen

In het digitale tijdperk van vandaag is het belangrijker dan ooit om zich bewust te zijn van de potentiële risico’s van online beveiligingsinbreuken, zoals API-lekken, omdat deze kunnen leiden tot verlies van persoonlijke informatie en financiële gegevens.

API-lekken ontstaan wanneer een derde partij zonder toestemming toegang krijgt tot de API (Application Programming Interface) van een bedrijf. Dit kan gebeuren wanneer de API van een bedrijf niet goed beveiligd is, of wanneer hackers een kwetsbaarheid in het systeem kunnen exploiteren. En zodra een derde partij toegang heeft tot de API van een bedrijf, kan deze mogelijk gevoelige gegevens inzien, zoals creditcardinformatie van klanten of rekeningsaldi.

API-lekken kunnen ernstige gevolgen hebben voor zowel bedrijven als consumenten. Bedrijven kunnen zware boetes en schadeclaims krijgen als klantgegevens worden gecompromitteerd, terwijl consumenten kunnen lijden onder financiële fraude of identiteitsdiefstal. Laten we dus dieper ingaan om het beter te begrijpen!

Begrijpen van API-sleutel

Een API-sleutel is een unieke identifier die wordt gebruikt om verzoeken aan een API (Application Programming Interface) te authenticeren. Het is een manier voor de API om de ontwikkelaar of het systeem dat het verzoek doet te identificeren en ervoor te zorgen dat alleen geautoriseerde verzoeken worden verwerkt.

API-sleutels worden vaak gebruikt om het gebruik van een API te volgen en te beheersen, en om te garanderen dat de API niet wordt misbruikt of overbelast. Ze worden meestal gegenereerd door de API-provider en gaan vaak gepaard met een geheime sleutel om de API-sleutel te authenticeren en te verzekeren dat deze door een geautoriseerde bron wordt gebruikt.

Om een API te gebruiken die een API-sleutel vereist, moet het systeem de sleutel opnemen in de verzoeken die naar de API worden gestuurd. Dit gebeurt meestal door de sleutel op te nemen in de request-header of als query‑parameter in de request‑URL.

Er zijn twee soorten API-sleutels: privé en openbaar. Privé‑API’s zijn meestal alleen toegankelijk voor een specifieke groep gebruikers of systemen en worden vaak gebruikt om gevoelige of eigendomsgegevens of functionaliteit te benaderen. Openbare API’s daarentegen worden vaak gebruikt om gegevens of functionaliteit te benaderen die beschikbaar is voor het grote publiek. Openbare API‑sleutels worden doorgaans uitgegeven aan elke ontwikkelaar of elk systeem dat de API wil gebruiken.

Hoe worden ze gebruikt in de handel?

API-sleutels worden vaak gebruikt in de handel om toegang te krijgen tot een financieel handelsplatform, zoals een beurs of een cryptocurrency exchange.

Ze stellen ontwikkelaars in staat om applicaties te bouwen die kunnen communiceren met crypto‑exchanges en transacties kunnen uitvoeren namens de gebruiker. Ze kunnen vervolgens worden gebruikt om accountinformatie te bekijken, realtime marktgegevens op te halen, orders te plaatsen en posities te beheren, onder andere.

Het idee is dat mensen het zware werk van nadenken of het uitvoeren van hun transacties niet hoeven te doen. In plaats daarvan gebeurt alles direct en automatisch via code. Maar dat verandert zodra de verkeerde personen toegang krijgen tot de API’s, want dat is alles wat ze nodig hebben om chaos te veroorzaken.

Uiteindelijk worden API-sleutels meestal door de exchange gegenereerd, en moet de gebruiker de sleutel aan de handelssoftware verstrekken om toegang tot de API te krijgen.

Gevaar van het gebruik van API-sleutels in de handel

Hoewel API-sleutels zeer handig kunnen zijn, kunnen ze ook een beveiligingsrisico vormen. Bijvoorbeeld, als een API-sleutel gecompromitteerd is, kan deze worden gebruikt om ongeautoriseerde toegang tot een account te krijgen of om transacties uit te voeren namens de gebruiker en geld af te sluizen.

Bovendien, als de sleutel wordt gebruikt om gevoelige financiële informatie te benaderen, zoals rekeningsaldi of handelsgeschiedenis, kan deze worden misbruikt om u te bedriegen of andere misdrijven te plegen.

Bovendien zijn API-lekken vaak moeilijk te detecteren, omdat ze zich vaak voordoen binnen de code van een applicatie of dienst, in plaats van in de database of server. Hierdoor kunnen ze gedurende lange tijd onopgemerkt blijven.

3Commas API-lek

Nog vorige week werd gespeculeerd dat miljoenen dollars aan crypto waren gestolen via gecompromitteerde API-sleutels van het in Estland gevestigde handelsplatform 3Commas, dat werd gesteund door Alameda Research van Sam Bankman‑Fried. Deze week gaf het bedrijf toe dat het de bron van het API-lek was.

De aankondiging van 3Commas kwam nadat een anonieme Twitter‑gebruiker ongeveer 100.000 API‑sleutels van gebruikers van de handelssoftwareprovider had bemachtigd en meer dan 10.000 van die sleutels online publiceerde, met de mededeling dat de rest “volledig [sic] willekeurig in de komende dagen zal worden gepubliceerd.”

Sindsdien heeft 3Commas de ondersteunde crypto‑exchanges zoals Binance, Kucoin en anderen gevraagd om alle API‑sleutels die met het handelsplatform waren verbonden, in te trekken.

Het lek kwam nadat tientallen 3Commas‑gebruikers beweerden dat hun API‑sleutels waren gebruikt om transacties uit te voeren op exchanges zoals KuCoin en Coinbase zonder hun toestemming. Het platform bevestigde dat gebruikers sinds oktober minstens $6 miljoen aan aanvallers verloren, maar dat bedrag is de afgelopen weken verdubbeld.

Aanvankelijk had 3Commas volgehouden dat er geen beveiligingsprobleem aan hun kant was en dat een phishing‑aanval ervoor had gezorgd dat gebruikers hun gegevens hebben opgegeven. Maar de datalek toont aan dat de inloggegevens van gebruikers gelekt waren in plaats van gephished.

3Commas is een populaire cryptocurrency‑handelsbot die gebruikers in staat stelt hun handel op externe exchanges te automatiseren. De app gebruikt API‑sleutels om toegang te krijgen tot de accounts van gebruikers op de exchanges, en het lijkt erop dat de API‑sleutels die in het lek van deze week werden opgenomen, zijn gegenereerd op Binance en KuCoin.

Volgens blockchain‑onderzoeker @ZachXBT heeft een groep van 44 slachtoffers in totaal $14,8 miljoen verloren door gestolen API‑sleutels van 3Commas. Destijds betoogde 3Commas‑CEO Yuri Sorokin dat als de gelekte API‑sleutels van 3Commas waren geweest, “je miljoenen gevallen zou hebben gezien, geen honderd.”

Er zijn meer dan 1 miljoen sleutels verbonden aan 3Commas, maar slechts ongeveer 100 gebruikers meldden problemen met hun accounts, voegde Sorokin toe. Deze week beschuldigden gebruikers 3Commas ervan zijn eigen gebruikers de schuld te geven in plaats van verantwoordelijkheid te nemen en zich te richten op het voorkomen van verdere exploits.

Voor de verklaring van 3Commas deze week waarschuwde Binance‑CEO Changpeng Zhao gebruikers met de woorden: “Ik ben er redelijk zeker van dat er wijdverspreide API‑sleutellekken zijn van 3Commas. Als je ooit een API‑sleutel in 3Commas hebt geplaatst (van welke exchange dan ook), schakel deze dan onmiddellijk uit.”

3Commas moedigt nu gebruikers aan om uit voorzorg nieuwe API‑codes te genereren. Bovendien hebben ze de app bijgewerkt om toekomstige phishing‑oplichting moeilijker uit te voeren.

Ondertussen zei het juridische team van 3Commas in een verklaring dat het bedrijf bezig is externe experts in te huren om de code te beoordelen en zaken definitief voor gebruikers op te lossen.

“Slechts een minuscule fractie van de gebruikers meldde abnormale activiteit bij 3Commas. 99,9 % van de API‑sleutels die in de 3Commas‑database zijn opgeslagen, zijn niet getroffen door de aanvallen,” voegde het juridische team toe.

Beschermende maatregelen

In de wereld van vandaag is het beschermen van uw API belangrijker dan ooit, vanwege de directe toegang die het biedt tot applicaties en gegevens. U kunt niet simpelweg zeggen dat uw API vandaag veilig is. API‑beveiliging is nu meer dan ooit nodig.

Het niet correct beveiligen van een API kan u in de problemen brengen. Zorg er dus voor dat u alleen zaken doet met gerenommeerde bedrijven en deel uw gevoelige gegevens nooit met iemand, tenzij u er absoluut zeker van bent dat het veilig is.

Een andere manier om API-lekken te voorkomen, is uw applicaties en diensten up‑to‑date te houden en een plan te hebben om ze regelmatig bij te werken. Op deze manier kunt u ervoor zorgen dat nieuwe kwetsbaarheden zo snel mogelijk worden gepatcht. Daarnaast kunt u overwegen een web‑application firewall (WAF) te gebruiken om kwaadaardige verzoeken te blokkeren.

Bewaar uw API‑sleutel altijd veilig en beveiligd, en sla deze nooit op een plek op waar hij gemakkelijk kan worden gecompromitteerd. Het is belangrijk om uw API‑sleutels regelmatig te wijzigen en ze niet met iemand te delen, zelfs niet met mensen die u vertrouwt. Als u ze toch moet delen, zorg er dan voor dat u dit doet via een veilige methode, zoals een met wachtwoord beschermd bestand.

Als u vermoedt dat uw API‑sleutel is gecompromitteerd, wijzig deze dan onmiddellijk en meld het bij uw exchange. Om uzelf verder te beschermen tegen deze risico’s, is het belangrijk om uw wachtwoorden regelmatig te wijzigen en nooit hetzelfde wachtwoord voor meerdere accounts te gebruiken. Door deze voorzorgsmaatregelen te nemen, kunt u helpen uw account veilig en beveiligd te houden.

Laatste woord

API‑lekken zijn niets nieuws. In feite bestaan ze al geruime tijd. En hoewel ze misschien niet de meest voorkomende vorm van een datalek zijn, kunnen ze nog steeds behoorlijk schadelijk zijn. Dit komt doordat API‑lekken, in tegenstelling tot andere soorten datalekken, aanvallers directe toegang geven tot uw meest gevoelige gegevens.

Hoewel het niet de enige manier is om geld te verliezen, is het zeker een grote zorg. Daarom is het belangrijk om API‑sleutels in de handel verantwoord te gebruiken, zich bewust te zijn van de potentiële risico’s en beperkingen ervan, en ervoor te zorgen dat u de nodige voorzorgsmaatregelen neemt om uw geld en uw informatie te beschermen.