トレーダーが利用していた取引サービスのAPIキーが流出し、Binanceの口座がハッキングされた。その後、犯人は被害者のアカウントを使ってAXSトークンの価格を操作し、数分のうちに200%上昇させました
。
のAPIキーが漏洩し、トレーダーのアカウントがハッキングされる
。
日曜日の午後、あるトレーダーは自分のBinanceアカウントに不要な取引があるのを見て不愉快な思いをしました。今回のハッキングでは、実際に被害者のAPIキーのデータ流出があり、Binanceのアカウントと利用していた取引サービスとの連携が可能になりました:
。
なぜAXSがポンピングしているのか不思議に思っている人。誰かが、なぜか私の@cz_binance @binanceアカウントで100万ドル分を購入しました。 私は複数のセキュリティレベルを持ち、誰も私のアカウントにアクセスしませんでした……。
ワロタwwww
REKTを手に入れました。pic.twitter.com/iGOocFZynU
– CarlosOMFGTv (0%) (@CarlosOMFG) 2022/11/13
..
ハッカーは、Axie InfinityブロックチェーンゲームのトークンであるAXSの価格を操作するために、複数のポジションを開設したのです。数分で200％上昇した後、ほぼ元の水準まで暴落:
｜日本経済新聞
Figure 1 – AXS price in minutes at the time of operation
また、被害者はこの攻撃の結果、約10万ドルを失ったと説明しています。ハッカーは、市場操作の後に売却するために、あらかじめAXSを蓄積していた可能性があります。
Binanceが取り上げる
。
被害者の資金はBinance上にありましたが、セキュリティ侵害はプラットフォームのせいではないことに注意することが重要です。
取引所のCEOであるChangpeng Zhao（CZ）は、この記事で取り上げたケースを含め、少なくとも3件の同様のケースが発生すると述べた:
サードパーティプラットフォーム（Skyrexと3commas）とAPIキーを共有したユーザーが、そのアカウントで予想外の取引を行った事例を少なくとも3件確認しました。もし、以前にこのようなプラットフォームを利用したことがあるなら、念のため、APIキーを削除することを強くお勧めします。- CZ Binance (@cz_binance) November 14, 2022
リークには、取引ボットのSkyrexと3commasのサービスを利用する人が含まれることになります。CZはBinanceがさらに調査するとも述べている:
。
カルロス（被害者）は、未知の注文が彼のAPIキーの漏洩によるものであることを確認しました。彼は有効なAPIキーを1つだけ持っており、それは暗号取引ボットプラットフォームであるSkyrexで使用されていたものです。現在、Skyrexが使用しているすべてのAPIキーの識別方法を検討し、無効化するようにします。
暗号エコシステムにおけるAPI接続
のAPI接続は、私たちのエコシステムのいくつかのシナリオで役に立ちます。例えば、集中管理されたプラットフォームで私たちのアカウントを読み取り専用にすれば、Waltioのようなソリューションに役立ち、私たちの取引履歴を一元化して税務申告を容易にすることができるようになります。
しかし、より高度な使い方として、例えば、取引所と遠隔でやり取りできるように、取引ボットや取引端末に権限を与えることができます。この場合、この接続に付与する権限を正確に定義する必要があります。
Figure 2 – Setting up API key on Binance
接続先であるサードパーティサービスに障害が発生する可能性があります。
ですから、どんなプロジェクトでもそうですが、これらのサービスも、投資にアクセスさせる前に徹底的に分析し、失敗を避ける必要があります。
