Vazamento de chaves de API da 3Commas expõe riscos da negociação automatizada

Vazamentos de chaves de API podem expor dados pessoais, informações financeiras e permissões de negociação. O episódio da 3Commas em dezembro de 2022 mostra a importância de limitar acessos e proteger essas credenciais.

Uma API é uma interface de programação de aplicações. O vazamento de chaves significa a exposição das credenciais associadas, não qualquer uso não autorizado da interface. A origem pode estar em configuração incorreta, armazenamento inseguro ou vulnerabilidades exploradas por hackers. O acesso obtido depende das permissões da chave e dos controles do serviço; dados de cartão ou controle integral da conta não são automaticamente disponibilizados.

Empresas podem enfrentar perdas, indenizações e possíveis multas. Usuários podem sofrer fraude, uso indevido da identidade ou operações não autorizadas. As consequências dependem do que foi efetivamente exposto.

O que é uma chave de API?

Uma chave de API normalmente identifica uma aplicação ou cliente perante um serviço. Algumas também funcionam como segredo de acesso, mas identificar uma chamada não garante, por si só, que ela esteja autorizada.

O provedor pode usar chaves para controlar acesso, cotas e consumo. Em APIs de exchanges, uma chave costuma ser combinada com um segredo usado para assinar solicitações. O mecanismo varia conforme o serviço.

A aplicação deve seguir o método documentado pelo provedor, normalmente por HTTPS. Segredos não devem aparecer na URL, onde podem acabar em logs. Alguns sistemas exigem que o segredo gere uma assinatura localmente, sem ser enviado diretamente.

APIs públicas e privadas descrevem quem pode acessar uma interface, não uma divisão universal entre dois tipos de chave. Uma API pública pode exigir credenciais secretas, e um identificador público de cliente não equivale a uma chave privada criptográfica.

Como elas são usadas na negociação?

Chaves de API são frequentemente usadas na negociação para acessar uma plataforma de negociação financeira, como uma bolsa de valores ou uma exchange de criptomoedas.

O programa pode consultar dados de mercado e da conta, enviar ordens e gerenciar posições quando suas permissões permitem. Nem todo dado de mercado exige autenticação, e nem toda chave autoriza todas essas funções.

A automação executa uma estratégia definida, mas não substitui a avaliação de risco nem garante execução instantânea ou lucro. Uma credencial comprometida pode permitir negociações prejudiciais mesmo quando os saques estão bloqueados.

A exchange normalmente emite as credenciais, que são conectadas ao software por uma integração compatível. As permissões devem se limitar às funções necessárias.

Riscos das chaves de API na negociação

Uma chave roubada pode permitir as ações que ela autoriza. Permissões de negociação podem ser abusadas mesmo sem acesso a saques. Uma chave apenas de leitura pode expor informações, mas normalmente não permite enviar ordens.

Saldos, histórico de operações e outros dados podem facilitar fraudes ou ataques direcionados. Por isso, o acesso de leitura também precisa ser protegido.

Credenciais podem vazar em código, logs, bancos de dados, backups, dispositivos ou fornecedores. O problema não se restringe ao código da aplicação. Falhas de monitoramento podem atrasar sua descoberta.

O incidente da 3Commas em dezembro de 2022

No fim de dezembro de 2022, a 3Commas, serviço de automação com vínculos com a Estônia e apoio da Alameda Research, foi associada a relatos de operações não autorizadas e perdas. Após a publicação de dados em 28 de dezembro, confirmou que chaves, segredos e frases de acesso de alguns usuários haviam sido divulgados por terceiros.

Um autor anônimo afirmou ter cerca de 100 mil chaves e, segundo os relatos da época, publicou mais de 10 mil. Disse que o restante seria «publicado integralmente [sic], de forma aleatória, nos dias seguintes». Eram alegações do invasor sobre o alcance, não uma contagem independente.

A 3Commas pediu à Binance, à KuCoin e a outras exchanges compatíveis que revogassem as chaves conectadas ao serviço.

Desde outubro, usuários relatavam operações não autorizadas em plataformas como KuCoin e Coinbase. As primeiras estimativas mencionavam pelo menos US$ 6 milhões em perdas e, depois, aproximadamente o dobro. Esses valores não eram um balanço completo e auditado dos prejuízos.

Inicialmente, a empresa havia apontado phishing e negado que seus sistemas fossem a origem. A confirmação posterior mostrou que um vazamento também precisava ser considerado; não demonstrava que nunca houvesse ocorrido phishing nem esclarecia todos os métodos de ataque.

A 3Commas conecta robôs de negociação às contas dos usuários em exchanges externas. As chaves divulgadas foram associadas, entre outras, à Binance e à KuCoin. O serviço não era a exchange que mantinha todos os fundos afetados.

O investigador de blockchain ZachXBT relatou perdas de US$ 14,8 milhões entre 44 vítimas. Antes de reconhecer o vazamento, o diretor executivo Yuri Sorokin argumentava que uma falha interna teria produzido muito mais de aproximadamente cem casos. Era seu argumento na época, não prova de que não houvesse vazamento.

Sorokin também citou mais de um milhão de chaves conectadas e cerca de cem usuários com relatos de problemas. Usuários criticaram a empresa por responsabilizá-los. O número de reclamações, isoladamente, não determinava quantas credenciais estavam expostas.

Antes da confirmação, Changpeng Zhao, então diretor da Binance, aconselhou quem tivesse conectado uma chave de exchange à 3Commas a desativá-la. Era um alerta relacionado ao incidente, não confirmação de perda para cada usuário.

A 3Commas passou a recomendar a emissão de novas chaves após a revogação das anteriores. Também informou mudanças de segurança, como um Sign Center isolado e medidas contra phishing. Essas mudanças não garantiam a ausência de ataques futuros.

A empresa informou que especialistas externos auxiliariam a investigação. Isso não significava que a causa estivesse definitivamente esclarecida ou que os prejuízos fossem ressarcidos.

Em comunicado jurídico anterior, de novembro, a 3Commas havia afirmado que 99,9% das chaves dos usuários não tinham sido atingidas pelos ataques relatados. Era a avaliação da empresa antes da confirmação do vazamento, não uma garantia independente de que essa proporção continuava segura depois.

Medidas de proteção

Conceda a cada integração somente as permissões necessárias e desative saques quando não forem indispensáveis. Separe leitura e negociação, use restrições de IP quando disponíveis e acompanhe ordens e registros de acesso.

Avalie a segurança do fornecedor e limite os dados compartilhados. Forneça credenciais somente por integrações compatíveis e protegidas, não por mensagens, e-mail ou arquivos compartilhados sem controle.

Mantenha programas e serviços atualizados. Operadores podem combinar controles de acesso, monitoramento e um firewall de aplicações web. O firewall não substitui o armazenamento seguro nem resolve automaticamente o abuso de credenciais válidas.

Armazene segredos em um gerenciador apropriado ou repositório criptografado, com acesso restrito. Exclua chaves sem uso e siga a política de expiração e rotação do fornecedor. Um arquivo protegido por senha, por si só, não garante compartilhamento seguro.

Ao suspeitar de comprometimento, revogue a chave antiga na exchange, interrompa a integração se necessário, confira a atividade e avise o fornecedor. Criar outra chave ou trocar a senha da conta não invalida necessariamente a anterior. Use senhas únicas e autenticação multifator; altere uma senha comprometida, sem tratar trocas periódicas arbitrárias como proteção suficiente.

Considerações finais

Vazamentos de credenciais são um risco conhecido. Seus efeitos dependem das permissões, dos demais controles e da rapidez da detecção. O acesso por API é uma entre várias formas de dados ou dinheiro serem comprometidos.

Usar APIs de negociação com responsabilidade exige acesso limitado, armazenamento seguro, monitoramento e revogação rápida diante de suspeitas. Nenhuma medida isolada elimina todos os riscos.