Un utilisateur anonyme de Twitter a obtenu environ 100 000 clés API appartenant aux utilisateurs du service de trading crypto 3Commas. Le bailleur a publié plus de 10 000 des clés mercredi et dit que le reste "sera publié [sic] au hasard dans les prochains jours".
Le PDG de 3Commas, Yuriy Sorokin, a confirmé l'authenticité de la fuite dans un tweet mercredi, ajoutant que "comme action immédiate, nous avons demandé à Binance, KuCoin et aux autres échanges pris en charge de révoquer toutes les clés [API] qui étaient connectées à 3Commas".
La fuite survient après que des dizaines d'utilisateurs de 3Commas ont affirmé que leurs clés API étaient utilisées pour exécuter des transactions sur des bourses telles que Binance, KuCoin et Coinbase sans leur consentement. Comme CoinDesk signalé précédemment, 3Commas a confirmé que les utilisateurs avaient perdu au moins $6 millions à cause des attaquants à partir d'octobre, mais cette somme a au moins doublé ces dernières semaines selon les utilisateurs qui ont parlé à CoinDesk.
CoinDesk ne lie pas ou ne nomme pas le compte Twitter du leaker pseudonyme, car cela pourrait exposer davantage des informations privées sensibles.
3Commas a initialement déclaré à CoinDesk que les pertes de ses utilisateurs résultaient d'attaques de phishing, mais ces utilisateurs – dont plus de 50 se sont organisés en groupes de discussion Telegram – ont insisté sur le fait que leurs informations d'identification devaient avoir été divulguées par 3Commas ou un échange comme Binance ou Coinbase.
Le vidage de données de mercredi est la preuve la plus claire à ce jour que les informations d'identification ont été divulguées plutôt que hameçonnées. Plusieurs utilisateurs de 3Commas ont confirmé à CoinDesk qu'ils avaient pu trouver leurs clés API parmi celles qui étaient partagées par le leaker.
Dans son tweet, Sorokin de 3Commas a noté que lui et son entreprise "ont fait tout ce que nous pouvions pour enquêter sur un travail interne, car c'était toujours un scénario possible et sur notre liste de surveillance, mais la preuve d'un travail interne n'a pas été trouvée."
Avant que 3Commas ne fasse sa déclaration, le PDG de Binance, Changpeng Zhao, a averti les utilisateurs mercredi après-midi que "si vous avez déjà mis une clé API dans 3Commas (à partir de n'importe quel échange), veuillez la désactiver immédiatement".
3Commas permet aux utilisateurs de configurer des robots de trading qui exécutent automatiquement des transactions en leur nom sur des échanges cryptographiques tiers. Ces échanges génèrent des clés API et les utilisateurs connectent ces clés à 3Commas afin d'accorder à l'application l'accès à leurs comptes. Les clés API incluses dans la fuite de cette semaine ont été, selon le leaker, générées sur Binance et KuCoin.
MISE À JOUR (28 décembre 2020 20:13 UTC) : Ajoute un tweet du PDG de Binance.
MISE À JOUR (28 décembre 2020 21:08 UTC) : Ajoute la confirmation et les déclarations de 3Commas, supprime "Alleged" du titre.
MISE À JOUR (28 décembre 2020 21:08 UTC) : Ajoute la confirmation et les déclarations de 3Commas, supprime "Alleged" du titre.
French 
English 
Chinese (China) 
Chinese (Hong Kong) 
Korean 
Japanese 
German 
Spanish 
Vietnamese 
Swedish 
Arabic 
Hindi