3Commas Mengakui API Bocor Bertentangan Dengan Pernyataan Sebelumnya

Tanda-tanda masalah pertama mulai muncul kembali pada bulan Oktober. Pada saat itu, 3Commas dituduh membocorkan kunci API yang memungkinkan aktor jahat mengambil kendali atas API yang dijual kepada pengguna akhir, dengan konsekuensi bencana.

Platform perdagangan otomatis, 3Commas menyediakan pelanggan dengan API yang kemudian dapat mereka sambungkan ke platform pertukaran untuk memungkinkan bot melakukan transaksi sepersekian detik ketika ada peluang untuk mendapatkan keuntungan.

Jika kunci yang digunakan untuk menghubungkan API ke platform akan dicegat, itu akan memungkinkan aktor jahat untuk membajak akun pertukaran crypto pengguna akhir tanpa memerlukan kata sandi pedagang, email, dan sebagainya.

• Pada bulan Oktober, sekitar $6 juta dolar dicuri dari akun FTX melalui 3Commas API. FTX – yang pada saat itu diduga solvabel – mengambil keputusan untuk mengembalikan uang pengguna, terlepas dari fakta bahwa dana khusus ini dicuri bukan karena kesalahan FTX.
• Namun, SBF juga menekankan bahwa pengembalian uang tersebut merupakan pengecualian satu kali.
• Lebih dari sebulan kemudian, insiden serupa terjadi – kali ini di Binance.
• Pertukaran menolak untuk mengembalikan uang pengguna, dengan CZ menyatakan bahwa tidak ada cara untuk memastikan itikad baik dari pihak pengguna.
• Selain itu, bahkan jika pengguna yakin telah bertindak dengan itikad baik, hal ini belum tentu merupakan kegagalan di pihak Binance, karena phishing dapat terjadi sepenuhnya di luar platform.\Hampir tiga minggu kemudian, CZ kembali ke Twitter, menyarankan pengguna untuk menonaktifkan kunci API 3Commas apa pun di Binance, karena dia memiliki alasan untuk meyakini bahwa kunci tersebut telah dikompromikan secara massal.
• Tweet tersebut memicu alarm di seluruh komunitas, dan kurang dari sehari kemudian, Yuriy Sorokin – CEO dan Pendiri 3Commas – mengakui bahwa kunci yang bocor memang berasal dari 3Commas.
• Namun, menurut Sorokin, tidak ada bukti bahwa ini adalah pekerjaan orang dalam.

“Kami melakukan semua yang kami bisa untuk menyelidiki pekerjaan orang dalam, karena itu selalu merupakan skenario yang mungkin dan dalam daftar pantauan kami, tetapi bukti pekerjaan orang dalam tidak ditemukan. Hanya sejumlah kecil karyawan teknis yang memiliki akses ke infrastruktur dan kami telah mengambil tindakan sejak 19 November untuk menghapus akses mereka.”

• Ini sangat kontras dengan deklarasi yang dibuat dua minggu sebelumnya, di mana Sorokin menuduh para korban memalsukan bukti dan mengklaim bahwa 3Commas sama sekali tidak bersalah.
• Dapat dipahami bahwa bencana tersebut membuat para pedagang angkat senjata lagi, dengan banyak yang menunggu lebih banyak penjelasan tentang situasi ini – dan mudah-mudahan, beberapa pengembalian dana.