Binance kappt alle SignalPlus-Schlüssel nach Angriff auf den Anbieter

Binance hat am Donnerstag alle API-Schlüssel gelöscht, über die Kunden ihr Konto mit dem Handelsterminal SignalPlus verbunden hatten. SignalPlus war in der Nacht zum Mittwoch angegriffen worden und beziffert den Schaden nach eigener, vorläufiger Prüfung auf weniger als 82.000 Dollar. Die Systeme von Binance sind nach Angaben der Börse nicht betroffen.

Wer SignalPlus genutzt hat, sollte sich direkt bei Binance anmelden und seine Positionen und offenen Orders prüfen. Das rät die Börse in ihrer Mitteilung auf X von 11:51 Uhr unserer Zeit.

Ein API-Schlüssel gibt fremder Software den Handelszugriff

SignalPlus ist eine Oberfläche für den Optionshandel, die selbst keine Börse betreibt. Damit sie im Namen eines Kunden handeln kann, legt der Kunde bei der Börse einen API-Schlüssel an und hinterlegt ihn beim Terminal. Mit diesem Schlüssel kann die Software Orders setzen und Positionen lesen, meist aber nichts abheben.

Man kann sich einen solchen Schlüssel wie eine Vollmacht vorstellen, die beim Vertreter im Schrank liegt. Wird beim Vertreter eingebrochen, hilft es wenig, dass das eigene Haus verschlossen ist.

Gegen diesen Fall schützt eine Freigabeliste für IP-Adressen: Ist sie gesetzt, akzeptiert die Börse den Schlüssel nur von bestimmten Servern, ein gestohlener Schlüssel nützt dann von anderen Rechnern aus nichts.

Ein gefälschtes Teams-Meeting öffnete dem Angreifer die Tür

Wie der Einbruch gelang, beschreibt SignalPlus in einer ausführlichen Stellungnahme selbst. Der Angreifer kaperte das Telegram-Konto eines Ansprechpartners bei einem Technikdienstleister, schrieb darüber einen Ingenieur an und schickte ihm eine gefälschte Einladung zu einem Microsoft-Teams-Meeting. So gelangte Schadsoftware auf dessen Rechner, wo der Angreifer zunächst stillhielt. In den frühen Morgenstunden des 4. November nutzte er die Zugangsrechte des Ingenieurs für einen Angriff auf das interne Netz.

Betroffen waren nach Angaben des Anbieters wenige Konten, und zwar solche ohne IP-Freigabeliste. Pflicht war die Liste bei SignalPlus nicht.

“We take responsibility for this oversight”, schreibt das Team, es übernehme also die Verantwortung für das Versäumnis. Betroffene sollen ihre Verluste vollständig ersetzt bekommen. Die Erstattung habe Fall für Fall begonnen.

Nach eigener Darstellung ließ SignalPlus die Schlüssel bei allen Partnerbörsen sperren und stellte den Dienst ab, ein deaktivierter Schlüssel bedeute aber nicht, dass Konto oder Guthaben betroffen seien. Wann das Terminal wieder läuft, steht nicht fest, es soll schrittweise zurückkommen.

Binance verlangt vor dem Neuverbinden eine Freigabeliste

Binance empfiehlt, mit neuen Schlüsseln zu warten, bis SignalPlus die vollständige Behebung meldet. Danach solle die IP-Freigabe immer eingeschaltet sein. Den Rat kennt die Börse aus eigener Erfahrung: Der Hack bei Binance selbst begann mit einem gefälschten Vorstellungsgespräch, also ebenfalls mit einem Köder für einen einzelnen Mitarbeiter.

Für Nutzer anderer Handelsterminals lohnt ein Blick in die API-Einstellungen der eigenen Börse: welche Schlüssel noch aktiv sind, welche Rechte sie haben und ob eine Freigabeliste hinterlegt ist.