Les utilisateurs de FTX perdent des millions à cause de l’exploitation de l’API 3Commas

Des pirates crypto irrespectueux persistent pendant l’hiver crypto. La récente brèche sur FTX a entraîné la perte de millions de dollars en cryptomonnaies. Les pirates ont obtenu l’accès au compte FTX d’un trader en exploitant une API liée à la plateforme de trading du compte.

L’entreprise de bots de trading crypto automatisé 3Commas a émis un avis de sécurité suite à l’attaque. 3Commas a pris des mesures après avoir détecté certaines clés API FTX utilisées pour effectuer des transactions illicites pour les paires de trading crypto DMG sur la bourse FTX.

L’API FTX exploitée

Un utilisateur a d’abord découvert que son compte négociait des jetons DMG plus de 5 000 fois avant que les plaintes pour piratage ne surgissent. Le client a ensuite appris que plus de 1,6 million de dollars en Bitcoin, jeton FTX, Ethereum et autres cryptomonnaies avaient été volés de son compte.

Des rapports ont indiqué qu’il ne s’agissait pas d’un incident isolé, car il y avait trois autres victimes. De son côté, FTX a déclaré que le piratage était lié à la fuite des clés API de la plateforme de trading 3Commas.

Bruce, un deuxième utilisateur de FTX, a révélé dans un fil Twitter du 22 octobre qu’il était une victime de l’attaque de FTX. Il a divulgué qu’il avait perdu 1,5 million de dollars à la suite de l’incident du 21 octobre. Selon Bruce, il n’a jamais utilisé ni même entendu parler de la ponctuation 3Commas. De plus, je n’avais jamais utilisé la clé API au cours des deux années précédentes. Je n’avais jamais consigné le secret sur papier.

De plus, il a signalé que le 18 et le 19 octobre, des acteurs malveillants ont négocié le DMG en utilisant son compte. Il a remis en question pourquoi FTX n’avait pas de procédures de gestion des risques en place pour le trading illégal.

Analyse de l’exploitation 3Commas

3Commas et FTX ont mené une enquête conjointe sur les allégations d’utilisateurs concernant des transactions frauduleuses utilisant les paires de trading DMG sur FTX. Les deux parties ont déterminé que les transactions DMG avaient été effectuées via de nouveaux comptes 3Commas et que « les clés API n’avaient pas été obtenues depuis la plateforme 3Commas, mais depuis l’extérieur de celle-ci. »

L’enquête a révélé que des sites web frauduleux se faisant passer pour 3Commas ont été utilisés pour hameçonner les clés API des utilisateurs lors de la connexion de leurs comptes FTX. Les clés API FTX ont ensuite été utilisées pour effectuer les trades DMG illégaux. Sur la base de l’activité des utilisateurs, FTX et 3Commas ont identifié les comptes suspects et ont bloqué les clés API pour prévenir de futures pertes.

3Commas soupçonne également que les clés API aient été volées aux utilisateurs via des logiciels malveillants et des extensions de navigateur tierces. De plus, 3Commas a nié toute responsabilité, déclarant que plusieurs utilisateurs affectés n’ont jamais été clients de 3Commas et qu’il n’y a aucune chance que l’incident de sécurité provienne des services de 3Commas.

Les utilisateurs de FTX qui ont connecté leurs comptes avec 3Commas et ont reçu une notification indiquant que leur API est « invalide » ou « nécessite une mise à niveau » doivent générer de nouvelles clés API. La plateforme de trading-bot a souligné tout au long de l’avis de sécurité qu’elle n’était pas responsable de la mise entre de mauvaises mains des données clients.

Pour réitérer et clarifier, il n’y a eu aucune brèche des bases de données de sécurité des comptes 3Commas ou des clés API. « Il s’agit d’un problème qui a affecté de nombreux utilisateurs qui n’ont jamais été clients de 3Commas, il n’y a donc aucune possibilité qu’il s’agisse d’une fuite de clés API provenant de 3Commas.

3Virgules

Les utilisateurs ont la possibilité de générer une nouvelle clé API sur FTX et de la lier à leur compte 3Commas afin que les trades actifs ne soient pas interrompus. 3Commas assiste actuellement les victimes et rassemble des informations supplémentaires sur les pirates.

FTX s’est associé à Visa pour distribuer des cartes de débit dans 40 pays à travers le monde. L’accord permet aux clients de FTX de payer des biens et des services avec des cartes de débit incluant des « frais nuls » et sans frais annuels. Le marché a réagi à la nouvelle en faisant monter le jeton FTX de 7 %, atteignant brièvement un prix de 25,62 $.

Encore un autre piratage crypto

Les utilisateurs d’OlympusDAO ont connu un moment de frayeur dans les heures précédentes. Après qu’un pirate a volé 30 000 jetons OHM, équivalant à 300 000 $, les fonds ont été remboursés. Le pirate semble agir en « white hat » et a utilisé une faille du contrat intelligent pour le nouveau produit OHM Bonds.

Selon PeckShield, « la fonction de rachat du contrat BondFixedExpiryTeller ne vérifie pas correctement les entrées ». Cependant, l’entreprise de sécurité blockchain a déclaré que Bond Protocol avait écrit le contrat intelligent problématique. Après avoir découvert la vulnérabilité, la DAO a informé les membres du piratage via le canal Discord.

Ce matin, une exploitation a eu lieu par laquelle l’attaquant a pu retirer environ 30K OHM (300 000 $) du contrat de bond OHM au Bond Protocol. Ce bug n’a pas été trouvé par les trois auditeurs, ni par notre revue de code interne, ni signalé via notre programme de prime pour bogues Immunefi.

Annonce officielle

OlympusDAO a déclaré que les fonds affectés étaient restreints en raison de la mise en œuvre échelonnée. La somme volée est une petite fraction des 3 300 000 $ de prime que le pirate aurait pu gagner s’il avait divulgué la vulnérabilité. L’équipe de la DAO a déclaré à l’époque qu’elle avait fermé les marchés problématiques et cherchait désormais des moyens de rembourser les utilisateurs affectés.

Le piratage crypto est en hausse et a consumé la majeure partie du mois d’octobre. Le marché crypto est à son point le plus bas de tous les temps. D’autres piratages menacent de déstabiliser le marché financier décentralisé existant. Que peut-on faire ? Les investisseurs en crypto peuvent-ils résister à des pertes supplémentaires ?