3Commas admet que c'était la source d'une fuite d'API qui a conduit à des piratages

Un groupe de commerçants a déclaré la semaine dernière que 22 millions de dollars de crypto avaient été volés via des clés API compromises de la plateforme de trading 3Commas. Mercredi, 3Commas a admis qu'il était la source de cette fuite d'API.

L'annonce est intervenue après qu'un utilisateur anonyme de Twitter a obtenu environ 100,000 3 clés API appartenant aux utilisateurs de XNUMXCommas et les a publiées en ligne. 

3Commas avait initialement insisté sur le fait qu'il n'y avait aucun problème de sécurité de son côté, et le co-fondateur Yuriy Sorokin a suggéré à plusieurs reprises sur Twitter qu'une attaque de phishing avait poussé les utilisateurs à abandonner leurs données. 

Mais mercredi, Sorokin a tweeté : "Nous avons vu le message du pirate et pouvons confirmer que les données contenues dans les fichiers sont vraies... Nous sommes désolés que cela soit allé si loin et nous continuerons à être transparents dans nos communications autour de la situation."

3Commas est une plate-forme qui permet aux utilisateurs de lier plusieurs comptes d'échange cryptographiques, tels que ceux conservés sur Binance, à un logiciel de trading automatisé. Tout cela se fait via des API (interfaces de programmation d'applications), les mécanismes standardisés qui permettent à des composants logiciels distincts de communiquer entre eux et d'effectuer des tâches. L'idée est que les humains n'ont pas à faire le dur labeur de penser à leurs métiers. Au lieu de cela, tout se fait instantanément et automatiquement via le code. 

Jusqu'à ce que les mauvaises personnes aient accès aux API.

Détective de la blockchain @ZachXBT a précédemment déclaré sur Twitter qu'il avait vérifié un groupe de 44 victimes qui avaient perdu un total de 14.8 millions de dollars grâce à des clés API volées à 3Commas.

En réponse, Sorokin a tweeté que "Si vous êtes une victime, cela signifie que vos clés ont été divulguées d'une manière ou d'une autre", mais "pas de 3Commas". Si les clés API divulguées provenaient de 3Commas, "vous auriez vu des millions de cas, pas une centaine", a-t-il raisonné.

Dans un fil séparé, il a fustigé "l'incompétence des grandes sources médiatiques" et a remis en question la validité d'une feuille de calcul participative de comptes compromis. "Faites attention au fait que la majorité des utilisateurs signalant des pertes n'ont même pas ouvert de ticket d'assistance avec l'échange et ne sont pas allés à la police", a tweeté Sorokin. « Comment cette information a-t-elle été vérifiée ? »

Encore il affirmé qu'il y avait trop peu d'incidents pour qu'il s'agisse d'un exploit de 3Commas. "Il y a plus de 1 [million] de clés connectées à 3Commas, avec environ 100 utilisateurs signalant des problèmes avec leurs comptes", a tweeté Sorokin.. "Pourquoi cela arriverait-il si [la base de données] était divulguée ?"

Aujourd'hui, un ZachXBT justifié a tweeté que "depuis des semaines [3Commas] blâment ses utilisateurs et n'accepte aucune responsabilité". 

"Vous avez continué à mentir et à dire que c'était de notre faute au lieu de prendre vos responsabilités et d'empêcher de nouveaux exploits", a ajouté @CoinMamba, un autre utilisateur de 3Commas qui a déclaré avoir perdu des fonds. « Allez-vous rembourser les utilisateurs maintenant ? »

Ce n'est pas la première fois que 3Commas et sa gestion de l'API font l'objet d'un examen minutieux. Environ un mois avant le dépôt de bilan de FTX, Sam Bankman-Fried a accepté de rembourser 6 millions de dollars aux clients touchés par ce qui a été décrit comme un escroquerie phishing impliquant 3 virgules.

Mercredi, le PDG de Binance, Changpeng Zhao, a tweeté qu'il était "raisonnablement sûr" qu'il y avait des "fuites généralisées de clé API" de 3Commas. 

CZ a ajouté que les utilisateurs doivent désactiver leurs clés API dans 3Commas. C'est ce que 3Commas recommande maintenant également.

"Comme action immédiate, nous avons demandé à Binance, Kucoin et aux autres échanges pris en charge de révoquer toutes les clés qui étaient connectées à 3Commas", a tweeté Sorokin.

3Commas n'a pas répondu à une demande de commentaires supplémentaires de Décrypter.