FTX對敲盜幣事件始末_FTX:Comodo Coin

作者：Colin Wu

原文：《新型黑客手法：3Commas API KEY 泄露；在 FTX 等對敲盜幣 全過程記錄》

21日一名杭州用戶向吳說爆料：他的 FTX 賬戶在19日晚突然“瘋狂”地進行交易達5000多次，賬戶資產160萬美金接近歸零，包括10幾個 BTC、上百個 ETH 以及幾千個 FTT 等，全部通過交易小幣 DMG 對敲盜走。用戶1年前開始使用量化機器人 3Commas，FTX 的 API 不需要更新，所以從來沒動過也沒保存過 API。

FTX 反饋是由于有能夠訪問 API KEY 的人通過 REST API 完成，可能是泄露了用戶 API KEY。FTX 表示需要拿到立案通知書才能配合相關例如凍結等工作，但在用戶提交報案回執后暫無回復。3Commas 則表示沒有發生任何的泄露。

金融時報：許多知名人士及其經紀人都購買了FTX的股票并為其宣傳:金色財經報道，一些世界上最大的人才機構及其高管購買了倒閉的加密貨幣交易所的股票，使他們與名人客戶一起成為 FTX 的投資者，其中許多人獲得了股權，作為推廣 Sam Bankman-Fried 現已破產的公司的交易的一部分。英國《金融時報》看到，FTX在2021年夏天發給潛在名人代言人的一份長達 11 頁的演示文稿中將自己宣傳為“最大的非中國加密貨幣交易所”。根據演示文稿，這家加密貨幣交易所聲稱其在 2021 年的估計利潤為 8 億美元，并且其交易量從 2020 年 1 月到 2021 年 5 月增長了 75.2 倍，從而吸引了投資者。FTX 關于其財務的聲明（目前正在接受美國證券交易委員會的審查，作為其龐大的欺詐調查的一部分）讓支持它的名人投資者放心，并激勵他們的代理人為交易所提供資金。熟悉這些交易的人士表示，FTX 沒有給代理商甜心條款，只是讓他們以低于正常票數的規模加入籌款活動。

FTX員工稱，FTX不送禮，想進就讓進門，它只是對代理商開放投資。他們看到了與客戶相同的財務狀況，并投入了自己的資金。[2023/2/13 12:02:31]

迪拜監管機構撤銷FTX牌照:11月24日消息，迪拜虛擬資產管理局(VARA)已經撤銷了對FTX MENA的最低可行產品(MVP)的許可證。VARA表示，FTX MENA仍處于籌備階段，因此沒有客戶受到影響。（cointelegraph）[2022/11/24 8:05:28]

值得注意的是，FTX 客服在最初回復中表示，“受影響的并非只有你”，可隨后 FTX 客服就不再聯系，并且表示這是個誤會。

問題來到了 3Commas 這邊，它在吳說報道后連忙回應稱：目前，3Commas 將此事視為重中之重。我們在登錄時使用 2FA 和 OTP 等具有最高安全性，以確保用戶帳戶始終安全。我們與用戶保持聯系，以確保他們獲得所需的所有支持。

FTX 首席執行官：對美國的加密監管環境“謹慎樂觀”:金色財經報道，FTX 首席執行官 Sam Bankman-Fried（SBF）在采訪中稱：“在過去的四年里，由于監管框架的原因，大多數加密貨幣一直在離開，如今全球加密貨幣交易量中只有 5% 到 10% 發生在美國交易所”。SBF表示對美國的加密監管環境持“謹慎樂觀”態度，他認為美國仍可能演變成一個更加友好的加密管轄區，他談到：“我持謹慎樂觀態度——我確實想強調‘謹慎’這一面......如果未來一兩年在這方面取得巨大進展，我不會感到震驚，以至于你可能會看到在岸流動性和交易量的比例增加三倍。 我認為這可能是我們目前最大的優先事項，就是看我們能否實現這一目標”。（Decrypt）[2022/1/19 8:58:09]

隨后 3Commas 發布了一個公告：

FTX現已上線Balancer（BAL) 現貨、季度合約及永續合約:據官方公告，數字資產衍生品交易所FTX現已上線基于以太坊的自動做市商交易所協議 Balancer 代幣 BAL 的現貨、季度合約及永續合約。FTX已推出BTC、ETH、EOS等70多個永續及季度合約產品，最高支持101倍杠桿，無合約交割手續費及提幣手續費。此外，FTX已于近期上線了COMP合約及DeFi指數合約，DeFi 指數合約對標一籃子熱門DeFi幣種。[2020/6/25]

然而在公告發布后，更多的受害者開始出現。

一名來自巴拉圭的受害者告訴吳說：他在攻擊中損失了近 104 比特幣，他強調FTX 自 10 月 19 日以來就知道該漏洞，兩天后我遭到了攻擊！3Commas 說是網絡釣魚攻擊，但我從未使用我的 3Commas 帳戶來設置機器人，而且該帳戶甚至已過期并已降級為免費帳戶。我已經有一年多沒有進入該帳戶，我從未將密鑰或 API 密鑰保存到任何文檔中，但僅在一年多前使用它來建立 FTX 連接。我也是一名 IT 工程師，我的筆記本電腦和智能手機由 Norton 360 和其他積極防止任何網絡釣魚或病攻擊的機制保護。

另一名來自中國的量化交易的受害者也表示，從未使用過 3Commas。在他的截圖中，19、20、21日均發生了關于 DMG 的對敲盜幣，但 FTX 竟然沒有對此做預防措施。

https://twitter.com/littlesand2/status/1583830658203283456

隨著輿論發酵，10月24日 SBF 終于回應，表示將賠償600萬美金，但“這是一次性的事件，我們不會養成補償被其他公司的假冒版本釣魚使用的習慣”。目前用戶已經收到了賠償的金額。FTX 對敲盜幣事件攻擊者已將所獲取利潤轉移至 Binance 和 FixedFloat 交易所。SBF 表示若攻擊者在 24 小時內歸還 95% 的被盜資金，則免除其法律責任。

目前來看，FTX 與 3Commas 都堅稱是用戶登陸了虛假釣魚網站而泄露了 API KEY。受害者當然對此并不同意。但事件核心確實是 API KEY 泄露。由于數據都掌握在 3Commas 與 FTX 內部，披露的信息目前也非常稀少，所以真相究竟如何，外界可能也無法完全了解。總而言之，對 API KEY 的授權與管理需要更加謹慎。

24日晚，據 @x_explore_eth 最新研究，因為 API KEY 泄露，除了 FTX 用戶因為對敲遭到數百萬美金的損失，Binance US 和 Bittres 的交易所也遭到類似的攻擊，使用的小幣種分別為 SYS/USD 與 NXT/BTC，損失分別達到 1053 ETH 和 301 ETH。FTX 的 DMG/USD 當攻擊發生時，交易量增加千倍幣價波動2-3倍，屬于重大異常交易事件，但 FTX 并沒有即時阻止，問題后續持續多次發生，因此也需要承擔一定的責任（SBF 也及時補償了用戶損失），其他交易所也應該對此多加關注。

吳說區塊鏈

個人專欄

閱讀更多

金色早8點

區塊律動BlockBeats

1435Crypto

金色財經

比推 Bitpush News

blockin

Block unicorn

Foresight News

Odaily星球日報

Bankless

DeFi之道

Tags：FTXCOMMASOMMNFTXComodo CoinFawkes MaskNew Community Luna

Filecoin