3Commas API-läckage belyser ännu ett sätt att förlora dina pengar

I dagens digitala era är det viktigare än någonsin att vara medveten om de potentiella riskerna med säkerhetsintrång online, såsom API-läckor, eftersom de kan leda till förlust av personlig information och finansiella data.

API-läckor uppstår när en tredje part får åtkomst till ett företags API (Application Programming Interface) utan tillstånd. Detta kan ske när ett företags API inte är korrekt säkrat, eller när hackare lyckas utnyttja en sårbarhet i systemet. Och när en tredje part har åtkomst till ett företags API kan de potentiellt nå känslig data, såsom kunders kreditkortsinformation eller kontosaldon.

API-läckor kan få allvarliga konsekvenser för både företag och konsumenter. Företag kan drabbas av kraftiga böter och skadestånd om kunddata komprometteras, medan konsumenter kan drabbas av finansiell bedrägeri eller identitetsstöld. Så låt oss göra en djupdykning för att förstå det bättre!

Förstå API-nyckel

En API-nyckel är en unik identifierare som används för att autentisera förfrågningar till ett API (Application Programming Interface). Det är ett sätt för API:et att identifiera utvecklaren eller systemet som gör förfrågan och att säkerställa att endast auktoriserade förfrågningar behandlas.

API-nycklar används ofta för att spåra och kontrollera användningen av ett API, samt för att säkerställa att API:et inte missbrukas eller överanvänds. De genereras vanligtvis av API-leverantören och följs ofta av en hemlig nyckel för att autentisera API-nyckeln och säkerställa att den används av en auktoriserad källa.

För att använda ett API som kräver en API-nyckel måste systemet inkludera nyckeln i de förfrågningar som görs till API:et. Detta görs vanligtvis genom att inkludera nyckeln i förfrågningshuvudet eller som en frågeparameter i förfrågnings-URL:en.

Det finns två typer av API-nycklar: privata och offentliga. Privata API:er är vanligtvis endast tillgängliga för en specifik grupp av användare eller system och används ofta för att komma åt känslig eller proprietär data eller funktionalitet. Offentliga API:er, å andra sidan, används ofta för att komma åt data eller funktionalitet som är tillgänglig för allmänheten. Offentliga API-nycklar utfärdas vanligtvis till vilken utvecklare eller system som helst som vill använda API:et.

Hur används de i handel?

API-nycklar används ofta i handel för att få åtkomst till en finansiell handelsplattform, såsom en börs eller en kryptobörs.

De låter utvecklare bygga applikationer som kan interagera med kryptobörser och utföra affärer på användarens vägnar. De kan sedan användas för att visa kontoinformation, hämta realtidsmarknadsdata, lägga order och hantera positioner, bland annat.

Tanken är att människor inte behöver göra det svåra arbetet med att tänka eller genomföra sina affärer. Istället sker allt omedelbart och automatiskt via kod. Men det gäller tills fel personer får åtkomst till API:erna, eftersom det är allt de behöver för att skapa förödelse.

Trots allt genereras API-nycklar vanligtvis av börsen, och användaren måste tillhandahålla nyckeln till handelsprogramvaran för att få åtkomst till API:et.

Risker med att använda API-nycklar i handel

Även om API-nycklar kan vara mycket bekväma, kan de också utgöra en säkerhetsrisk. Till exempel, om en API-nyckel komprometteras kan den användas för att få obehörig åtkomst till ett konto eller för att utföra affärer på användarens vägnar och avleda pengar.

Dessutom, om nyckeln används för att komma åt känslig finansiell information, såsom kontosaldon eller handelshistorik, kan den användas för att lura dig eller begå andra brott.

Dessutom är API-läckor ofta svåra att upptäcka, eftersom de ofta inträffar inom koden i en applikation eller tjänst, snarare än i databasen eller servern. På så sätt kan de förbli oupptäckta under en längre tid.

3Commas API-läckage

Redan förra veckan spekulerades det i att kryptovalutor till ett värde av flera miljoner dollar hade stulits genom komprometterade API-nycklar från den estniska handelsplattformen 3Commas, som stöddes av Sam Bankman-Frieds Alameda Research. Denna vecka erkände företaget att det var källan till API-läckan.

3Commas’ meddelande kom efter att en anonym Twitter-användare hade fått tag på cirka 100 000 API-nycklar som tillhörde leverantörens användare och publicerade över 10 000 av nycklarna online samt sade att resten “kommer att publiceras fullt [sic] slumpmässigt under de kommande dagarna.”

Sedan dess har 3Commas bett stödda kryptobörser som Binance, Kucoin och andra att återkalla alla API-nycklar som var kopplade till handelsplattformen.

Läckan kommer efter att dussintals 3Commas-användare påstod att deras API-nycklar användes för att utföra affärer på börser som KuCoin och Coinbase utan deras samtycke. Plattformen bekräftade att användare förlorade minst 6 miljoner dollar till angripare från och med oktober, men den summan har fördubblats under de senaste veckorna.

Inledningsvis hade 3Commas hävdat att det inte fanns något säkerhetsproblem på deras sida och att en phishing-attack hade fått användare att lämna sina data. Men datautsläppet visar att användarnas autentiseringsuppgifter läckte snarare än att de phishingades.

3Commas är en populär kryptovaluta-handelsbot som gör det möjligt för användare att automatisera sin handel på tredjepartsbörser. Appen använder API-nycklar för att få åtkomst till användarnas konton på börserna, och det verkar som att de API-nycklar som ingick i veckans läcka genererades på Binance och KuCoin.

Enligt blockchain-undersökaren @ZachXBT har en grupp på 44 offer förlorat totalt 14,8 miljoner dollar genom API-nycklar som stulits från 3Commas. Vid den tidpunkten hävdade 3Commas VD Yuri Sorokin att om de läckta API-nycklarna hade kommit från 3Commas, “skulle du ha sett miljoner fall, inte bara hundra.”

Det finns mer än 1 miljon nycklar kopplade till 3Commas men endast cirka 100 användare rapporterade problem med sina konton, tillade Sorokin. Denna vecka kritiserade användare 3Commas för att skylla på sina egna användare istället för att ta ansvar och fokusera på att förhindra ytterligare exploateringar.

Innan 3Commas uttalande kom den här veckan var Binance VD Changpeng Zhao försiktig mot användare och sade: “Jag är ganska säker på att det finns omfattande API-nyckelläckor från 3Commas. Om du någonsin har lagt en API-nyckel i 3Commas (från någon börs), inaktivera den omedelbart.”

3Commas uppmuntrar nu användare att generera nya API-koder som en försiktighetsåtgärd. Dessutom har de uppdaterat appen för att göra framtida phishing-bedrägerier svårare att genomföra.

Under tiden sade 3Commas juridiska team i ett uttalande att företaget var i färd med att anlita externa experter för att granska deras kod och lösa situationen definitivt för användarna.

“Endast en försvinnande liten del av användarna rapporterade onormal aktivitet till 3Commas. 99,9 % av API-nycklarna som lagras i 3Commas databas har inte påverkats av attackerna,” tillade det juridiska teamet.

Skyddsåtgärder

I dagens värld är det viktigare än någonsin att skydda ditt API, på grund av den direkta åtkomst det ger till applikationer och data. Du kan inte bara säga att ditt API är säkert idag. API-säkerhet behövs nu mer än någonsin.

Att inte säkra ett API korrekt kan leda till stora problem. Så se till att bara göra affärer med ansedda företag och dela aldrig din känsliga data med någon om du inte är helt säker på att det är säkert.

Ett annat sätt att skydda mot API-läckor är att hålla dina applikationer och tjänster uppdaterade och ha en plan för regelbunden uppdatering. På så sätt kan du säkerställa att nya sårbarheter åtgärdas så snart som möjligt. Dessutom bör du överväga att använda en webbapplikationsbrandvägg (WAF) för att hjälpa till att blockera skadliga förfrågningar.

Förvara alltid din API-nyckel säkert och skyddat, och lagra den aldrig på en plats där den lätt kan komprometteras. Det är viktigt att byta dina API-nycklar regelbundet och inte dela dem med någon, inte ens dem du litar på. Om du måste dela dem, se till att göra det med en säker metod, såsom en lösenordsskyddad fil.

Om du någonsin misstänker att din API-nyckel har komprometterats, byt den omedelbart och meddela din börs. För att ytterligare skydda dig mot dessa risker är det viktigt att byta dina lösenord regelbundet och aldrig använda samma lösenord för flera konton. Genom att vidta dessa försiktighetsåtgärder kan du hjälpa till att hålla ditt konto säkert.

Slutord

API-läckor är inget nytt. Faktum är att de har funnits ett tag. Och även om de kanske inte är den vanligaste formen av dataläcka, kan de fortfarande vara mycket skadliga. Detta beror på att, till skillnad från andra typer av dataläckor, kan API-läckor ge angripare direkt åtkomst till din mest känsliga data.

Även om det inte är det enda sättet att förlora pengar, är det definitivt en stor oro. Så det är viktigt att använda API-nycklar i handel på ett ansvarsfullt sätt, vara medveten om de potentiella riskerna och begränsningarna med att använda dem, och se till att vidta nödvändiga försiktighetsåtgärder för att skydda dina pengar och din information.