Binance и Deribit отозвали ключи SignalPlus после атаки через поддельное приглашение

Что произошло

Binance и Deribit отозвали API-ключи, связанные с SignalPlus, после инцидента с безопасностью. Обе биржи заявили, что их собственные системы не пострадали. При этом Deribit предупредила клиентов о прекращении работы торговли, мониторинга и автоматизации через SignalPlus.

SignalPlus предоставляет инфраструктуру для торговли криптодеривативами, особенно опционами, и позволяет профессиональным и институциональным трейдерам управлять позициями на нескольких биржах через одну платформу.

Как произошла атака

По словам SignalPlus, злоумышленник использовал скомпрометированный аккаунт Telegram контакта из стороннего технологического поставщика. Выдав себя за этого человека, он отправил инженеру SignalPlus поддельное приглашение на встречу в Microsoft Teams и получил контроль над компьютером сотрудника.

Злоумышленник некоторое время оставался незаметным, а затем рано утром в среду использовал права доступа инженера для атаки на внутреннюю сеть SignalPlus.

Компания обнаружила и локализовала проникновение. SignalPlus временно приостановила работу сервисов и рассчитывает восстановить их в течение следующих нескольких дней после проверки безопасности и установки исправлений.

Что это значит для пользователей

SignalPlus признала, что не требовала предварительного разрешения IP-адресов для доступа бирж к API. Такой механизм ограничивает доступ к API заранее утверждённым списком интернет-адресов.

Компания взяла на себя ответственность за этот недочёт и заявила, что ужесточит требования к доступу к API и усилит внутренние меры безопасности. Сооснователь Binance Yi He также призвал сторонние платформы, интегрированные с биржей, проверить средства защиты и отслеживать подозрительную активность.

Контекст

Инцидент с SignalPlus произошёл через несколько дней после того, как Binance раскрыла детали взлома на $6,3 млрд, также связанного с компрометацией компьютеров сотрудников.

Согласно разбору Binance, злоумышленники выдавали себя за рекрутеров и убедили инженера скачать вредоносный файл, замаскированный под тестовое задание по программированию. Затем они использовали скомпрометированный компьютер для доступа к другим системам и в итоге атаковали инфраструктуру кошельков биржи.

Yi He заявила, что в 2026 году Binance выявила и предотвратила 57 предполагаемых киберугроз, связанных с Северной Кореей. Среди них были фиктивные собеседования, вредоносные пакеты программного обеспечения и попытки похитить учётные данные сотрудников.