Attention ! Un pirate informatique a dérobé l’ensemble des clés API des utilisateurs de l’outil de trading automatisé 3Commas. Une partie des clés API ont déjà été publiées sur le réseau social Twitter le 28 décembre par le pirate. Le PDG de la société 3Commas invite les plateformes à révoquer les clés API aussi rapidement que possible.
Le pirate a divulgué les clés API détournées sur Twitter
Un utilisateur anonyme a divulgué mercredi, sur le réseau social Twitter, une première partie (10 000) des clés API détournées appartenant aux utilisateurs de l’outil de trading automatisé. Il a prévenu qu’il divulguerait l’autre partie “de façon totalement aléatoire dans les jours à venir”.
Yuriy Sorokin, le PDG de 3Commas, a immédiatement confirmé l’authenticité des clés API dans un message sur Twitter et invite les plateformes d’échange à “révoquer les clés API dès que possible”.
1. Statement from 3Commas:
We saw the hacker’s message and can confirm that the data in the files is true. As an immediate action, we have asked that Binance, Kucoin, and other supported exchanges revoke all the keys that were connected to 3Commas.
— Yuriy Sorokin (@YS_3Commas) December 28, 2022
On ignore encore à ce stade le nombre de comptes victimes du détournement de fonds. On sait seulement que le piratage informatique concerne plus de 100 000 clés API. D’après le cabinet légal Cobalt, le fournisseur servait déjà plus de 100 000 utilisateurs en 2020 pour un volume de trading de plus de 12 milliards de dollars.
L’avertissement du PDG de Binance a été ignoré ?
Le PDG et fondateur de la plateforme Binance, Changpeng Zha (CZ), a déjà émis le 28 décembre un avertissement à l’ensemble de ses followers en les invitant à désactiver, aussi rapidement que possible, les clés API de 3Commas.
Il avait alors affirmé qu’il était “raisonnablement certain” que des fuites de clés API avaient eu lieu sur la plateforme d’échange de crypto-monnaies. Un avertissement ignoré par le PDG de la société 3Commas.
I am reasonably sure there are wide spread API key leaks from 3Commas. If you have ever put an API key in 3Commas (from any exchange), please disable it immediately.
Stay #SAFU.
— CZ ? Binance (@cz_binance) December 28, 2022
Un utilisateur s’était déjà plaint le 9 décembre auprès de la plateforme Binance que sa clé API avait été utilisée sans son autorisation pour “effectuer des transactions sur des crypto-monnaies à faible capitalisation afin de faire monter les prix rapidement et de réaliser ainsi des bénéfices juteux”.
Le PDG de la plateforme crypto-monnaie Binance avait alors refusé de rembourser les fonds perdus à la suite de la perte de la clé API, en prétextant que “la perte était invérifiable” et qu’il ne “paierait pas ses clients pour perdre leurs clés API”. L’utilisateur en question avait ensuite été immédiatement suspendu de la plateforme Binance.
Mamba, there is almost no way for us to be sure users didn’t steal their own API keys. The trades were done using API keys you created. Otherwise we will just be paying for users to lose their API keys. Hope you understand.
— CZ ? Binance (@cz_binance) December 9, 2022
La fuite pourrait-elle remonter au mois d’octobre ?
Il est très vraisemblable que cet incident se déroule depuis plusieurs semaines. Des rumeurs sur Youtube et Twitter prétendent que des employés de l’entreprise auraient détourné les clés API. Le PDG de l’entreprise a démenti ces allégations en affirmant que les captures d’écran fournies étaient fausses.
On peut néanmoins se demander si la sécurité interne dans l’entreprise ne serait pas défaillante. D’autant que les premiers problèmes de sécurité sont apparus au mois d’octobre 2022. La plateforme FTX qui était encore fonctionnelle à l’époque avait déjà émis une alerte de sécurité concernant les clés API. Une enquête interne avait alors conclu que les clés API avaient été subtilisées à l’extérieur de la plateforme, en partie en raison d’une “attaque par phishing”.
Une mauvaise nouvelle pour FTX
Une très mauvaise nouvelle pour FTX et son ancien président, dans la mesure où cette entreprise avait levé des fonds auprès de la firme de trading Alameda Research en 2020 ! La société 3Commas avait en effet obtenu en 2020 un financement de capital-risque d’un montant de 3 millions de dollars auprès de la firme de trading Alameda Research.
Il s’agit bien sûr d’une goutte d’eau à l’échelle de FTX et de sa dette colossale, mais il est clair qu’à la suite de cet incident, l’avenir de 3Commas sera très certainement compromis, ce qui devrait donc ainsi affecter la capacité pour FTX de liquider cet investissement à un prix correct.
L’investissement en crypto-monnaies est proposé par eToro (Europe) Ltd en tant que PSAN, enregistré auprès de l’AMF. Les crypto-monnaies sont très volatiles. Pas de protection des consommateurs.
Pour en savoir plus :
Bien que non responsable, FTX veut indemniser ses clients dupés
Partager
Romaric Saint Aubert
Crypto-journaliste
