Huobi、4,960人のユーザーの機密情報が関与するデータ侵害を修正

暗号通貨取引所Huobiは、2021年6月以降、ユーザーの資金が危険にさらされるとされる大規模なデータ漏洩の後、データ侵害を修正した。このデータ漏洩には、2017年から2021年までのほぼすべての店頭取引（OTC）の取引情報が含まれており、一部のデータはVIPユーザーのデータや取引所の技術インフラに関する情報であった。

Huobi、機密情報の暴露のリスク 

ホワイトハッカーで市民ジャーナリストのAaron Phillipsは、Huobiのデータ侵害を明らかにしました。ホワイトハッカーは、Huobiの脆弱性を悪用する攻撃者が、史上最大の暗号資産盗難を達成する機会を持っていたと説明しました。取引所の資格情報にアクセスできる誰でも、hbfile.netやhuobi.comなどのドメインを変更できました。さらに、内部文書やユーザーデータが暴露される可能性もありました。

以前の報告によると、同社は毎日10億ドル以上の取引量を扱っている。したがって、漏洩を修正するための措置を講じていなければ、ユーザーのアカウントや暗号通貨資産が盗まれていただろう。フィリップスは、Huobiのコンテンツ配信ネットワーク（CDN）やウェブサイトに悪意のあるスクリプトが注入される可能性を強調した。彼によると、CDNはすべてのHuobiログインページを侵害されており、過去2年間にHuobiのウェブサイトやアプリを使用したすべての人に損害を与えた可能性がある。

取引所は、暗号通貨ユーザーの連絡先情報やアカウント残高を含む機密情報の暴露リスクにさらされており、顧客がアカウントや暗号通貨資産を失うリスクがある。フィリップスによると、これにはHuobiの店頭取引（OTC）の取引データや、暗号通貨の大口保有者（ホエール）のデータベースも含まれる。しかし、彼はデータ漏洩を使用して侵害が行われたわけではないと確認した。

Huobi、データ侵害を修正

取引所は、発生を確認し、それは日本の局のテスト環境におけるS3バケットの適切なスタッフの不正行為によって引き起こされたと述べた。2022年10月8日、関連するすべてのユーザーデータは隔離された。 

取引所は、漏洩は小規模で、4,960人が関与していると主張した。また、漏洩した情報には機密情報が含まれておらず、ユーザーのアカウントや資産のセキュリティに影響を与えなかったと付け加えた。

Huobiはさらに、Huobi日本とHuobi Globalのサイトは別個のエンティティであると述べた。2023年6月21日、Huobiセキュリティチームはホワイトハットチームからの警告を受けて直ちに対応し、関連するファイルアクセス権限を即座に閉鎖した。取引所によると、問題は解決され、関連するすべてのユーザーデータが削除された。Huobiはその後、影響を受けたアカウントを削除し、ユーザーがリスクにさらされることはなくなった。

問題は現在解決されているにもかかわらず、フィリップスは、取引所が対応するまでに数ヶ月かかったこと、および彼が2022年6月にHuobiに最初の通知を与えた後も漏洩したデータがオンラインに残っていたことを指摘した。

暗号通貨取引所は、ハッカーが資金を盗むために使用できる大量の顧客データにアクセスできるため、データ侵害を受けやすい。カナダの暗号通貨取引所Coinsquareは、2022年11月にデータ侵害を受けた。ユーザーの電話番号、投資家の名前、生年月日、公開ウォレットアドレス、取引履歴などの情報が暴露された。しかし、取引所はパスワードにアクセスされなかったと確認し、悪意のある行為者によって情報が検出されていないと述べた。

Gemini Exchangeもデータ侵害を経験し、570万人のユーザーの情報がハッキングフォーラムで盗まれ、漏洩した。侵害されたデータを提供する投稿は昨年9月に初めて登場し、データは30BTC（約52万ドル）で提供されていた。同じデータが11月にも投稿され、他の取引所からの追加データと共に提供された。別のフォーラムでは、後にデータが無料で提供された。Geminiはその後、ハッキングや資金へのアクセスを防ぐために、クライアントに二段階認証の実施とハードウェアセキュリティキーの使用を求めた。