خسارة مستخدمي FTX لملايين الدولارات بسبب استغلال واجهة برمجة التطبيقات 3Commas

هاكرو العملات المشفرة غير المبالين يواصلون نشاطهم خلال شتاء العملات المشفرة. أدى الاختراق الأخير على FTX إلى خسارة ملايين الدولارات من العملات المشفرة. تمكن الهاكرو من الوصول إلى حساب FTX لتاجر العملات المشفرة عن طريق استغلال واجهة برمجة التطبيقات المرتبطة بمنصة التداول الخاصة بالحساب.

أصدرت شركة الروبوتات الآلية لتداول العملات المشفرة 3Commas إشعارًا أمنيًا بعد الهجوم. اتخذت 3commas إجراءً بعد اكتشاف مفاتيح API معينة لـ FTX تم استخدامها لإجراء معاملات غير قانونية لأزواج تداول العملات المشفرة DMG على منصة FTX.

استغلال واجهة برمجة التطبيقات لـ FTX

اكتشف مستخدم أولاً أن حسابه يقوم بتداول رموز DMG أكثر من 5,000 مرة قبل ظهور شكاوى القرصنة. تعلم العميل لاحقًا أن ما يقرب من 1.6 مليون دولار من البيتكوين ورمز FTX والإيثريوم والعملات المشفرة الأخرى قد سُرقت من حسابه.

أشارت التقارير إلى أن هذا لم يكن حادثًا معزولًا، حيث كان هناك ثلاثة ضحايا آخرين. من جانبها، قالت FTX إن الاختراق مرتبط بتسرب مفاتيح API لمنصة التداول 3Commas.

كشف بروس، مستخدم آخر لـ FTX، في سلسلة تغريدات على تويتر بتاريخ 22 أكتوبر، أنه كان ضحية لهجوم FTX. كشف أنه خسر 1.5 مليون دولار نتيجة لحادث 21 أكتوبر. وفقًا لبروس، لم يستخدم أو حتى يسمع عن علامة الترقيم 3Commas. بالإضافة إلى ذلك، لم أستخدم مفتاح API في السنتين السابقتين. لم أقم بتسجيل السر على الورق أبدًا.

بالإضافة إلى ذلك، أفاد أنه في 18 و19 أكتوبر، قام لاعبو خبيثون بتداول DMG باستخدام حسابه. تساءل لماذا لم يكن لدى FTX إجراءات لإدارة المخاطر في مكانها للتداول غير القانوني.

تحليل استغلال 3Commas

أجرت 3Commas وFTX تحقيقًا تعاونيًا بشأن ادعاءات المستخدمين بشأن عمليات تداول احتيالية باستخدام أزواج تداول DMG على FTX. توصل الثنائي إلى أن عمليات تداول DMG تمت باستخدام حسابات جديدة في 3Commas وأن "مفاتيح API لم يتم الحصول عليها من منصة 3Commas ولكن من خارجها."

كشف التحقيق أن مواقع ويب احتيالية تتظاهر بأنها 3Commas تم استخدامها لاختطاف مفاتيح API من المستخدمين أثناء انضمامهم إلى حساباتهم على FTX. ثم تم استخدام مفاتيح API الخاصة بـ FTX لإجراء عمليات تداول DMG غير القانونية. بناءً على نشاط المستخدم، حددت كل من FTX و3Commas الحسابات المشتبه بها ووقفت مفاتيح API لمنع الخسائر المستقبلية.

تشكك 3Commas أيضًا في أن مفاتيح API تم سرقتها من المستخدمين عبر البرامج الضارة وإضافات المتصفح من طرف ثالث. بالإضافة إلى ذلك، نفت 3Commas المسؤولية، مشيرة إلى أن عدة مستخدمين متضررين لم يكونوا عملاء لـ 3Commas من قبل ولا توجد فرصة لأن ينشأ الحادث الأمني من خدمات 3Commas.

يجب على مستخدمو FTX الذين ربطوا حساباتهم مع 3Commas وتلقوا إشعارًا بأن واجهة برمجة التطبيقات الخاصة بهم "غير صالحة" أو "تحتاج إلى ترقية" إنشاء مفاتيح API جديدة. شددت منصة التداول بالروبوتات طوال الإشعار الأمني على أنها غير مسؤولة عن وصول بيانات العملاء إلى الأيدي الخطأ.

لتوضيح الأمر وتأكيدًا له، لم يحدث أي اختراق لقواعد بيانات أمان حسابات 3Commas أو مفاتيح API. "هذه مشكلة أثرت على مستخدمين متعددين لم يكونوا عملاء لـ 3Commas من قبل، لذلك لا توجد إمكانية لأن يكون تسرب مفاتيح API ناتجًا عن 3Commas.

3فواصل

يتمتع المستخدمون بفرصة إنشاء مفتاح API جديد على FTX وربطه بحسابهم على 3Commas حتى لا تتقطع عمليات التداول النشطة. تساعد 3Commas حاليًا الضحايا وتجمع معلومات إضافية عن الهاكرز.

شركت FTX مع فيزا لتوزيع بطاقات الخصم في 40 دولة حول العالم. يتيح الاتفاق لعملاء FTX دفع ثمن السلع والخدمات باستخدام بطاقات الخصم التي تشمل "رسومًا صفرية" ولا رسوم سنوية. استجاب السوق للخبر برفع رمز FTX بنسبة 7%، ليصل مؤقتًا إلى سعر 25.62 دولار.

هاكر آخر للعملات المشفرة

عانى مستخدمو OlympusDAO من لحظة رعب في الساعات السابقة. بعد أن سرق هاكر 30,000 رمز OHM، تعادل 300 ألف دولار، تم استرداد الأموال. يبدو أن الهاكر يرتدي قبعة بيضاء واستغل ثغرة في العقد الذري لمنتج OHM Bonds الجديد.

وفقًا لـ PeckShield، "وظيفة الاسترداد في عقد BondFixedExpiryTeller لا تتحقق بشكل صحيح من المدخلات." ومع ذلك، ذكرت شركة أمان البلوكشين أن بروتوكول Bond هو من كتب العقد الذري المشكل. بعد اكتشاف الثغرة، أبلغ فريق DAO الأعضاء عن الاختراق عبر قناة Discord.

هذا الصباح، حدث استغلال من خلاله تمكن المهاجم من سحب ما يقرب من 30 ألف OHM (300 ألف دولار) من عقد OHM bond في بروتوكول Bond. لم يتم العثور على هذا الخطأ من قبل ثلاثة مدققين، ولا من خلال مراجعة الكود الداخلية لدينا، ولم يتم الإبلاغ عنه عبر مكافأة الأخطاء في Immunefi.

إعلان رسمي

قالت OlympusDAO إن الأموال المتأثرة كانت مقيدة بسبب التنفيذ المتدرج. المبلغ المسروق هو جزء صغير من مكافأة 3,300,000 دولار التي كان يمكن أن يكسبها الهاكر إذا كشف عن الثغرة. أعلن فريق DAO في ذلك الوقت أنه أغلق الأسواق المشكلّة ويبحث الآن عن طرق لتعويض المستخدمين المتأثرين.

قرصنة العملات المشفرة في ارتفاع وقد استهلكت معظم شهر أكتوبر. سوق العملات المشفرة في أدنى نقطة له على الإطلاق. تهديدات القرصنة الإضافية قد تؤدي إلى زعزعة استقرار سوق التمويل اللامركزي القائم. ماذا يمكن فعله؟ هل يمكن لمستثمري العملات المشفرة تحمل خسائر إضافية؟