عندما تصبح الصلاحيات المفرطة بوابة للقرصنة
شهدت منصة بينانس حوادث متكررة لسرقة أموال المستخدمين عبر التلاعب بأسعار أزواج تداول منخفضة السيولة، ليس بسبب اختراق خوادم المنصة المركزية، ولكن نتيجة تسريب مفاتيح API الخاصة بحسابات المتداولين عبر تطبيقات تداول وأتمتة طرف ثالث.
سيناريو الضخ والتفريغ العكسي (Pump and Dump)
نفذ المهاجمون مخططاً خبيثاً اعتمد على التفاصيل التالية:
قد يعجبك ايضا
- الاستيلاء على مفاتيح API تحتوي على صلاحيات تنفيذ التداولات الحية (Trading Permissions).
- شراء كميات ضخمة من عملة رقمية مهملة بأسعار منخفضة للغاية من حسابات القراصنة.
- استخدام مفاتيح الضحايا لشراء نفس العملة بأعلى الأسعار الممكنة، مما أدى لتحويل الأرصدة مباشرة للمخترقين.
حذرت بينانس المتداولين بضرورة تفعيل خاصية تقييد عناوين IP على مفاتيح البرمجة، وعدم منح صلاحيات السحب مطلقاً لأي طرف خارجي.
بروتوكولات الأمان المستحدثة لمفاتيح API
أطلقت المنصة لاحقاً ميزة المسح التلقائي لمفاتيح API القديمة أو غير المقيدة بـ IP بعد مرور 30 يوماً كإجراء احترازي ملزم.
التعليقات (0)
أضف تعليقك