La Corée du Sud durcit le contrôle des API crypto alors que DAXA cible l'abus de clés partagées
La Corée du Sud durcit le contrôle des API crypto alors que DAXA cible l'abus de clés partagées
- L'Alliance des Bourses d'Actifs Numériques (DAXA) a introduit des règles obligeant les plateformes à bloquer les clés API partagées de manière suspecte.
- Le Service sud-coréen de supervision financière a indiqué que le trading automatisé représente désormais environ 30 % du volume des transactions en crypto-monnaies.
- Les plateformes telles qu'Upbit et Bithumb renforceront leur surveillance des clés API et imposeront la création de listes blanches d'adresses IP.
L'Alliance des échanges d'actifs numériques de Corée du Sud (DAXA) a introduit une nouvelle norme de conformité. Les échanges de cryptomonnaies opérant dans la région devront désormais invalider les clés API suspectées d'être partagées de manière inappropriée entre utilisateurs. Cette action a intensifié la surveillance réglementaire sur l'un des marchés d'actifs numériques les plus actifs au monde.
Cela survient alors que le Service de supervision financière (FSS) pousse à un examen approfondi du trading crypto automatisé. Les régulateurs suggèrent que ce type de trading représente désormais environ 30 % du volume d'échanges national.
Le marché mondial des cryptomonnaies a connu une vente massive au cours des dernières 24 heures. Le prix du Bitcoin a chuté de plus de 3 %, tandis que l'Ether a reculé de près de 5 %. La capitalisation boursière cumulative des cryptomonnaies s'établit à 2,46 billions de dollars.
DAXA intensifie la surveillance des API
Selon rapports, le nouveau cadre de DAXA cible les préoccupations émergentes parmi les régulateurs et les échanges. L'une d'elles est l'utilisation d'identifiants API partagés ou compromis. Ils sont utilisés pour manipuler les marchés et spoofing les ordres. Cependant, ils peuvent même coordonner les trades sur plusieurs comptes.
Le FSS a exhorté à ce que certains traders soumettent et annulent à plusieurs reprises de gros ordres d'achat. Cela a été fait pour créer de faux signaux de demande. Ils appuyèrent ensuite sur le bouton de vente lorsque le prix augmente. Cependant, le régulateur n'a pas divulgué le nombre de comptes faisant l'objet d'enquêtes.
Le Tendance des clés API a envahi le marché. Elle permet aux systèmes automatisés de se connecter directement aux échanges pour accéder aux données de marché. Ensuite, elle passe à l'exécution des ordres, des dépôts et des retraits.
Conformément aux nouvelles directives, les échanges membres de DAXA mettront en œuvre des réponses sévères lorsque des comportements suspects de partage d'API seront détectés. Après une surveillance accrue et des avertissements aux utilisateurs, ils demanderont aux utilisateurs de subir une réauthentification obligatoire.
Upbit, Bithumb, Coinone, Korbit et Gopax sont réglementés par DAXA. Ces échanges déploieront également des systèmes de liste blanche d'IP qui restreignent l'accès API aux adresses approuvées. Parallèlement, le groupe n'a pas encore divulgué la méthodologie de détection précise qui sera utilisée à l'avance.
L'abus d'API déclenche une répression en Corée
Déjà en 2022, 3Commas avait été lié à l'exposition à grande échelle de jetons d'accès. Des rapports suggèrent qu'environ 100 000 clés API ont été exposées. Cependant, ces clés étaient associées à des comptes Binance et KuCoin.
Binance, Coinbase, OKX et Kraken prennent tous en charge la liste blanche d'IP et la gestion des permissions API. Cependant, les nouvelles règles de DAXA semblent aller vers une application obligatoire dans certains scénarios.
Les chercheurs en sécurité avertissent que l'abus d'identifiants API reste l'un des risques opérationnels les moins discutés publiquement au sein de l'infrastructure de trading crypto.
L'entreprise d'infrastructure crypto Sodot avait noté que de nombreux incidents liés aux API sont souvent catégorisés de manière large comme des piratages génériques. Ils doivent être divulgués comme des compromissions d'identifiants.
L'ancien PDG de Binance, Changpeng Zhao, a également publiquement a mis en garde les utilisateurs lors de l'incident 3Commas. Il était évident que les identifiants API représentaient un risque sérieux pour les systèmes de trading automatisé.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
FAQ
Qu'est-ce que la DAXA et quelles plateformes couvre-t-elle ?
La DAXA est l'Alliance sud-coréenne des bourses d'actifs numériques, un organe d'autorégulation dont les membres comprennent les cinq plus grandes plateformes du pays : Upbit, Bithumb, Coinone, Korbit et Gopax, ainsi que des opérateurs licenciés de taille plus réduite.
Que se passe-t-il si une plateforme signale ma clé API selon la nouvelle norme ?
Les plateformes appliqueront des mesures progressives basées sur le risque évalué, en commençant par une surveillance accrue et des avertissements, puis en exigeant une réauthentification, et enfin en forçant l'expiration de la clé, ce qui coupe tout accès jusqu'à la génération d'une nouvelle clé conforme.
Comment les plateformes détecteront-elles le partage incorrect des clés API ?
DAXA n'a pas divulgué de méthodes techniques spécifiques, mais le cadre indique l'analyse comportementale, les schémas de trading inhabituels et l'accès depuis des adresses IP non enregistrées comme signaux de détection probables, selon les rapports de BloomingBit et Binance Square.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Ashish Kumar
Ashish Kumar est un journaliste spécialisé dans la crypto et la finance, avec huit ans d'expérience en rédaction. Il couvre l'actualité des marchés cryptographiques, de la réglementation, de la DeFi et des écosystèmes d'échanges. Il a travaillé pour Coingape, Todayq et Newsroompost. Ashish détient un PGDP en journalisme anglais de l'IIMC. Il a également interviewé des personnalités du secteur telles qu'Arthur Hayes, Yat Siu, Austin Federa, et bien d'autres.
