3Commas admite que APIs vazaram ao contrário de declarações anteriores

Os primeiros indícios de problemas começaram a surgir em outubro. Na época, a 3Commas foi acusada de vazar chaves de API que permitiram que agentes mal-intencionados assumissem o controle de APIs vendidas a usuários finais, com consequências desastrosas.

Uma plataforma de negociação automatizada, a 3Commas fornece aos clientes uma API que eles podem conectar às plataformas de câmbio para permitir que o bot realize transações em frações de segundo quando uma oportunidade de lucro é avistada.

Se a chave usada para conectar a API à plataforma fosse interceptada, isso permitiria que um malfeitor basicamente sequestrasse a conta de troca de criptografia do usuário final sem precisar da senha, e-mail e assim por diante do comerciante.

• Em outubro, cerca de US$ 6 milhões foram roubados de contas FTX por meio da API 3Commas. A FTX – que na época era supostamente solvente – tomou a decisão de reembolsar os usuários, apesar do fato de que esses fundos específicos foram roubados sem culpa da FTX.
• No entanto, a SBF também enfatizou que o reembolso foi uma exceção única.
• Pouco mais de um mês depois, ocorreu um incidente semelhante - desta vez na Binance.
• A exchange se recusou a reembolsar o usuário, com CZ afirmando que não havia como apurar a boa-fé por parte do usuário.
• Além disso, mesmo que o usuário tivesse certeza de ter agido de boa fé, isso não seria necessariamente uma falha da Binance, já que o phishing poderia ter acontecido totalmente fora da plataforma.\Quase três semanas depois, CZ voltou ao Twitter, avisando usuários para desabilitar quaisquer chaves de API 3Commas na Binance, pois ele tinha motivos para acreditar que as chaves foram comprometidas em massa.
• O tweet disparou o alarme em toda a comunidade e, menos de um dia depois, Yuriy Sorokin – o CEO e fundador da 3Commas – admitiu que as chaves vazadas vieram, de fato, da 3Commas.
• No entanto, segundo Sorokin, não há provas de que tenha sido um trabalho interno.

“Fizemos tudo o que pudemos para investigar um trabalho interno, pois sempre foi um cenário possível e estava em nossa lista de observação, mas a prova de um trabalho interno não foi encontrada. Apenas um pequeno número de funcionários técnicos teve acesso à infraestrutura e tomamos medidas desde 19 de novembro para remover seu acesso.”

• Isso contrasta fortemente com as declarações feitas duas semanas antes, onde Sorokin acusou as vítimas de falsificar evidências e alegou que a 3Commas não tem culpa alguma.
• O desastre compreensivelmente colocou os comerciantes em pé de guerra mais uma vez, com muitos esperando que mais luz fosse lançada sobre a situação - e esperançosamente, alguns reembolsos.