Альянс южнокорейских бирж цифровых активов (DAXA) установил обязательные стандарты соответствия, требующие от крупнейших криптовалютных бирж страны обнаруживать и аннулировать API-ключи, которые, как подозревается, были ненадлежащим образом переданы или предоставлены в пользование между клиентами.
Политика, объявленная 28 мая, направлена на конкретный метод эксплуатации, который использовался для манипулирования ценами и недобросовестных торговых практик на корейских криптовалютных рынках. Все биржи-члены DAXA, включая Upbit, Bithumb, Coinone, Korbit и Gopax, подпадают под действие новых стандартов.
API-ключи — это учетные данные доступа, которые позволяют пользователям и внешним программам взаимодействовать с учетными записями биржи, размещать ордера, проверять балансы и выполнять снятие средств без необходимости ручного входа. Когда они передаются в пользование или предоставляются третьим лицам, они становятся инструментом для скоординированной торговой деятельности, которая может манипулировать ценами, скрывая при этом, кто на самом деле стоит за сделками.
Финансовая инспекционная служба Кореи заявила, что автоматизированная торговля в настоящее время составляет примерно 30% объема торговли криптовалютами в стране, что делает управление API-ключами проблемой системной целостности рынка, а не частным случаем.
В соответствии с новыми стандартами биржи обязаны внедрить многоуровневую систему реагирования, основанную на уровне риска:
Требование белого списка IP-адресов особенно важно. Это означает, что даже если API-ключ будет передан, он не сможет быть использован с неавторизованного устройства или местоположения, что добавляет аппаратный уровень защиты от злоупотребления учетными данными.
Злоупотребление API-учетными данными было постоянной, но недостаточно освещаемой уязвимостью в инфраструктуре торговли криптовалютами. Исследователи безопасности отмечают, что многие инциденты, связанные с API, широко классифицируются как общие взломы, а не конкретно как компрометация учетных данных, что скрывает истинный масштаб проблемы.
Инцидент с 3Commas в 2022 году обнажил около 100 000 API-ключей, связанных с аккаунтами Binance и KuCoin, демонстрируя масштаб ущерба, возможный при сбое управления учетными данными. Крупные биржи, включая Binance, Coinbase, OKX и Kraken, уже поддерживают IP-белый список и управление разрешениями в качестве необязательных функций. Новые стандарты DAXA движутся в сторону обязательного применения, а не добровольного внедрения.
Исполнительный вице-председатель DAXA Чэджин Ким сформулировал политику прямо. «DAXA и ее компании-члены будут оперативно реагировать на новые и возникающие угрозы и принимать решительные меры по мере необходимости для защиты наивысшей ценности — защиты пользователей».
Корея остается одним из самых активных розничных крипторынков в мире. Регуляторные действия DAXA и Финансовой инспекционной службы последовательно устанавливают прецеденты, за которыми внимательно следят другие юрисдикции. Обязательные стандарты управления API-ключами, если они будут приняты более широко, закроют один из наиболее практически эксплуатируемых пробелов в инфраструктуре безопасности криптовалютных бирж.
