FTXユーザーが3Commas APIの脆弱性により数百万ドルを損失

無配慮な暗号通貨ハッカーは暗号通貨の冬の間もpersistしています。FTXでの最近の侵害により、数百万ドル相当の暗号通貨が損失しました。ハッカーは、アカウントの取引プラットフォームに紐付けられたAPIを悪用して、暗号通貨トレーダーのFTXアカウントにアクセスしました。

自動暗号通貨取引ボット会社の3Commasは攻撃後にセキュリティ通知を発出しました。3commasは、FTX取引所でのDMG暗号通貨取引ペアに対する不正取引を行うために使用された特定のFTX APIキーを検出後、措置を取りました。

FTX APIが悪用される

ハッキングの苦情が表面化する前に、あるユーザーは自分のアカウントがDMGトークンを5,000回以上取引していることに最初に気づきました。その後、顧客はビットコイン、FTXトークン、イーサリアム、その他の暗号通貨から160万ドル以上がアカウントから盗まれたことを学びました。

この事件は孤立した事例ではなく、さらに3人の被害者がいたと報告されています。FTX側は、このハッキングが取引プラットフォーム3CommasのAPIキーの漏洩に関連していると述べました。

2番目のFTXユーザーであるBruceは、10月22日のTwitterスレッドで、自分がFTX攻撃の犠牲者であることを明らかにしました。彼は10月21日の事件の結果として150万ドルを損失したと明かしました。Bruceによると、彼は3Commasの句読点（注：原文のpunctuation markは誤訳または比喩的表現の可能性あり、文脈上「3Commas」を指す）を一度も使用したことも、聞いたこともありませんでした。さらに、過去2年間APIキーを使用したこともなく、秘密を紙に記録したこともありませんでした。

さらに、彼は10月18日と19日に、悪意のあるプレイヤーが彼のアカウントを使用してDMGを取引したと報告しました。彼は、FTXが不正取引に対するリスク管理手順を講じていなかった理由を問いました。

3Commasの脆弱性分析

3CommasとFTX は、FTXでのDMG取引ペアを使用した不正取引に関するユーザーの主張について共同調査を行いました。両社は、DMG取引が新しい3Commasアカウントを使用して行われており、「APIキーは3Commasプラットフォームからではなく、外部から取得された」と結論付けました。

調査の結果、3Commasを装った詐欺的なウェブサイトが使用され、ユーザーがFTXアカウントに接続する際にAPIキーをフィッシングされたことが判明しました。その後、FTX APIキーが不正なDMG取引の実行に利用されました。ユーザーの活動に基づき、FTXと3Commasは容疑者アカウントを特定し、将来の損失を防ぐためにAPIキーを停止しました。

3Commasはまた、APIキーがマルウェアやサードパーティ製のブラウザ拡張機能を通じてユーザーから盗まれた可能性も疑っています。さらに、3Commasは責任を否定し、影響を受けたユーザーの多くは3Commasの顧客でなく、セキュリティインシデントが3Commasのサービスに起因する可能性はないと述べています。

3Commasにアカウントを接続し、APIが「無効」または「アップグレードが必要」という通知を受けたFTXユーザーは、新しいAPIキーを生成する必要があります。取引ボットプラットフォームは、セキュリティ通知を通じて、顧客データが誤った手に渡る責任を負わないことを強調しました。

再確認および明確化のため、3CommasのアカウントセキュリティデータベースまたはAPIキーのいずれにも侵害はありません。「これは、3Commasの顧客でなかった複数のユーザーに影響を与えた問題であり、3Commasに起因するAPIキーの漏洩である可能性はありません。

3Commas

ユーザーはFTXで新しいAPIキーを生成し、それを3Commasアカウントにリンクして、アクティブな取引が中断されないようにする機会があります。3Commasは現在、被害者を支援し、ハッカーに関する追加情報を収集しています。

FTXはVisaと提携し、世界中の40か国でデビットカードを配布しました。この合意により、FTXの顧客は「手数料ゼロ」および年会費なしのデビットカードを使用して商品やサービスを支払うことができます。市場はこのニュースに反応し、FTXトークンを7%上昇させ、一時的に25.62ドルの価格に達しました。

また別の暗号通貨ハッキング

OlympusDAOのユーザーは直前の数時間で一瞬の恐怖を味わいました。ハッカー が30,000 OHMトークン（30万ドル相当）を盗んだ後、資金は返金されました。ハッカーはホワイトハットのように振る舞い、新しいOHM Bonds製品のスマートコントラクトの欠陥を利用したようです。

PeckShieldによると、「BondFixedExpiryTellerコントラクトのredeem関数は入力を正しくチェックしていません。」しかし、ブロックチェーンセキュリティ企業は、Bond Protocolが問題のあるスマートコントラクトを作成したと述べています。脆弱性を発見した後、DAOはDiscordチャンネルを通じてハッキングをメンバーに通知しました。

今朝、攻撃者がBond ProtocolのOHM bondコントラクトから約30K OHM（30万ドル）を引き出すことができた脆弱性が発生しました。このバグは、3人の監査員、内部コードレビュー、またはImmunefiのバグ報奨金プログラムを通じて報告されませんでした。

公式発表

OlympusDAOは、影響を受けた資金は段階的な実装のため制限されていたと述べました。盗まれた金額は、ハッカーが脆弱性を開示していた場合に獲得できた330万ドルの報奨金のわずかな部分にすぎません。DAOチームは当時、問題のある市場をシャットダウンし、影響を受けたユーザーへの補償方法を探していると述べていました。

暗号通貨ハッキング は増加傾向にあり、10月の大部分を占めています。暗号通貨市場は過去最低水準にあります。さらに多くのハッキングが既存の分散型金融市場の不安定化を脅かしています。どうすればよいのでしょうか？暗号通貨投資家は追加の損失に耐えられるでしょうか？