3Commas pranon se ishte burim i rrjedhjes së API që çoi në hak

Një grup tregtarësh javën e kaluar e thanë këtë 22 milionë dollarë kripto ishin vjedhur përmes çelësave të komprometuar API nga platforma tregtare 3Commas. Të mërkurën, 3Commas pranoi se ishte burimi i asaj rrjedhje API.

Njoftimi erdhi pasi një përdorues anonim i Twitter mori rreth 100,000 çelësa API që u përkisnin përdoruesve të 3Commas dhe e publikoi atë në internet. 

3Presja fillimisht kishte këmbëngulur se nuk kishte asnjë çështje sigurie në fund të saj, dhe bashkëthemeluesi Yuriy Sorokin sugjeroi në mënyrë të përsëritur në Twitter se një sulm phishing bëri që përdoruesit të hiqnin dorë nga të dhënat e tyre. 

Por të mërkurën, Sorokin shkroi në Twitter: “Ne pamë mesazhin e hakerit dhe mund të konfirmojmë se të dhënat në skedarë janë të vërteta… Na vjen keq që kjo ka arritur deri më tani dhe do të vazhdojë të jetë transparent në komunikimet tona rreth situatës.”

3Commas është një platformë që lejon përdoruesit të lidhin llogari të shumta të shkëmbimit të kriptove – të tilla si ato që mbahen në Binance – me softuerët e automatizuar të tregtimit. E gjithë kjo bëhet përmes API-ve (ndërfaqeve të programimit të aplikacionit), mekanizmave të standardizuar që mundësojnë komponentët e veçantë të softuerit të komunikojnë me njëri-tjetrin dhe të kryejnë detyra. Ideja është që njerëzit nuk duhet të bëjnë punën e vështirë për të menduar për zanatet e tyre. Në vend të kësaj, gjithçka bëhet menjëherë dhe automatikisht përmes kodit. 

Derisa njerëzit e gabuar të kenë akses në API.

Sleuth Blockchain @ZachXBT tha më parë në Twitter se ai kishte verifikuar një grup prej 44 viktimash që humbën një total prej 14.8 milionë dollarësh përmes çelësave API të vjedhur nga 3Commas.

Si përgjigje, Sorokin shkroi në Twitter se "Nëse je viktimë, atëherë do të thotë se në një farë mënyre çelësat e tu kanë rrjedhur", por "jo nga 3 presje". Nëse çelësat API të zbuluar do të kishin qenë nga 3Commas, "do të kishit parë miliona raste, jo njëqind," arsyetoi ai.

Në një fije të veçantë, ai kritikoi "paaftësinë nga burime të mëdha mediatike" dhe vuri në pikëpyetje vlefshmërinë e një fletëllogaritëse të grumbulluar të llogarive të komprometuara. "Kini kujdes që shumica e përdoruesve që raportojnë humbje nuk hapën as një biletë mbështetëse me shkëmbimin dhe nuk shkuan në polici," shkroi Sorokin në Twitter. "Si u verifikua ky informacion?"

Përsëri ai pohoi se kishte shumë pak incidente që ai të kishte qenë një shfrytëzim me 3 presje. “Ka mbi 1 [milion] çelësa të lidhur me 3Commas, me rreth 100 përdorues që raportojnë probleme me llogaritë e tyre,” shkroi Sorokin në Twitter.. "Pse do të ndodhte kjo nëse [baza e të dhënave] do të zbulohej?"

Sot, një ZachXBT i justifikuar shkroi në Twitter se "për javë të tëra [3Commas] kanë fajësuar përdoruesit e saj dhe kanë pranuar zero përgjegjësi". 

“Ju vazhduat të gënjeni dhe të thoni se ky ishte faji ynë në vend që të merrnim përgjegjësi dhe të parandalonit shfrytëzime të mëtejshme,” shtoi @CoinMamba, një përdorues tjetër i 3Commas i cili tha se humbi fondet. "A do të rimbursoni përdoruesit tani?"

Kjo nuk është hera e parë që 3Commas dhe trajtimi i tij API u vu nën shqyrtim. Rreth një muaj përpara se FTX të paraqitej për falimentim, Sam Bankman-Fried ra dakord të kthente 6 milionë dollarë për klientët e prekur nga ajo që përshkruhej si një mashtrim phishing që përfshin 3 presje.

Të mërkurën, CEO i Binance, Changpeng Zhao, postoi në Twitter se ai ishte "arsyeshëm i sigurt" se kishte "rrjedhje të përhapura të çelësave API" nga 3Commas. 

CZ shtoi se përdoruesit duhet të çaktivizojnë çelësat e tyre API në 3Commas. Kjo është ajo që 3Commas po rekomandon tani gjithashtu.

“Si një veprim i menjëhershëm, ne kemi kërkuar që Binance, Kucoin dhe shkëmbime të tjera të mbështetura të revokojnë të gjithë çelësat që ishin të lidhur me 3Commas,” shkroi Sorokin në Twitter.

3Commas nuk i është përgjigjur një kërkese për komente të mëtejshme nga decrypt.