SignalPlus: Kompromittiertes Telegram-Konto eines Drittanbieters führte zu Angriff – Verluste von weniger als 82.000 US-Dollar werden vollständig erstattet

SignalPlus, eine Handelsplattform für Krypto-Derivate, teilte mit, dass sich ein Angreifer in den frühen Morgenstunden des 4. November über ein kompromittiertes Telegram-Konto eines Drittanbieters Zugang verschafft habe. Nach Angaben der Plattform waren nur wenige Konten betroffen, für die keine IP-Whitelist eingerichtet worden war.

In einem Update vom 5. November bezifferte SignalPlus den Gesamtschaden auf weniger als 82.000 US-Dollar und kündigte an, alle betroffenen Nutzer vollständig zu entschädigen. Das Unternehmen erklärte außerdem, es habe den Angriff eingedämmt, sein Handelsterminal vorsorglich außer Betrieb genommen und gemeinsam mit zentralisierten Kryptobörsen die zugehörigen API-Schlüssel widerrufen.

Der Vorfall verdeutlicht ein Risiko für Trader, die ihre Börsenkonten mit externen Anwendungen verknüpfen: Ein Konto kann aufseiten der Kryptobörse weiterhin sicher sein, während ein angebundener Dienst oder dessen Zugangsdaten zur Schwachstelle werden.

Was ist bei SignalPlus passiert?

SignalPlus führte den Angriff auf ein kompromittiertes Telegram-Konto eines Drittanbieters zurück. Betroffen war nach Angaben des Unternehmens lediglich eine begrenzte Zahl von Nutzern, deren Konten nicht durch eine IP-Whitelist geschützt waren.

Aus den bislang verfügbaren Informationen geht weder eindeutig hervor, wie das kompromittierte Telegram-Konto für den Angriff genutzt wurde, noch welche Handlungen der Angreifer im Einzelnen vorgenommen hat. Auch zum Ablauf und zeitlichen Rahmen der Entschädigung machte SignalPlus keine konkreten Angaben.

SignalPlus erklärte, im Zuge seiner Gegenmaßnahmen:

• den Angriff nach seiner Entdeckung eingedämmt zu haben;
• gemeinsam mit zentralisierten Kryptobörsen die verknüpften API-Schlüssel widerrufen zu haben;
• die Terminal-Dienste vorübergehend ausgesetzt zu haben;
• alle betroffenen Nutzer vollständig entschädigen zu wollen;
• mit einer vollständigen Wiederaufnahme der Dienste innerhalb der darauffolgenden Tage zu rechnen und weitere Informationen sowie Anweisungen über die offiziellen Kanäle zu veröffentlichen.

Nutzer sollten den genannten Zeitraum für die Wiederherstellung lediglich als Zielsetzung und nicht als verbindliche Zusage verstehen. Bevor sie ein Börsenkonto erneut verbinden, sollten sie eine offizielle Bestätigung abwarten.

Binance widerrief die zugehörigen API-Schlüssel

Auch Binance erklärte, nach Bekanntwerden des möglichen Sicherheitsproblems vorsorglich alle mit SignalPlus verknüpften API-Schlüssel widerrufen zu haben. Die Börse betonte, dass ihre eigenen Systeme nicht betroffen gewesen seien und die Vermögenswerte der Nutzer sicher seien.

Binance riet SignalPlus-Nutzern, sich direkt bei ihrem Binance-Konto anzumelden und sowohl offene Positionen als auch noch nicht ausgeführte Aufträge zu überprüfen. Zudem warnte die Börse davor, API-Schlüssel erneut zu verbinden, bevor SignalPlus die vollständige Behebung des Problems bestätigt hat.

Für Trader von Derivaten ist diese Überprüfung auch dann wichtig, wenn der Zugriff bereits widerrufen wurde. Bestehende Aufträge und Positionen müssen möglicherweise weiterhin verwaltet werden: Der Widerruf eines API-Schlüssels verhindert zwar dessen weitere Nutzung, schließt jedoch nicht zwangsläufig Positionen und storniert auch nicht automatisch sämtliche bestehenden Aufträge.

Warum API-Berechtigungen wichtig sind

API-Schlüssel ermöglichen es Trading-Anwendungen, mit einem Börsenkonto zu interagieren, ohne dass Nutzer ihre Anmeldedaten jedes Mal erneut eingeben müssen. Je nach erteilten Berechtigungen kann eine verbundene Anwendung Kontoinformationen abrufen, Trades platzieren oder andere unterstützte Aktionen ausführen.

Dieser Komfort bringt zusätzliche Sicherheitsverantwortung mit sich. Wer einer Kryptobörse vertraut, sollte auch jeden damit verbundenen Dienst sorgfältig prüfen und dessen Zugriffsrechte auf das notwendige Maß begrenzen.

Eine IP-Whitelist bietet zusätzlichen Schutz, indem sie die Verwendung eines API-Schlüssels auf vorab freigegebene Netzwerkadressen beschränkt. Werden Zugangsdaten gestohlen, kann dies das Risiko eines Missbrauchs verringern. Eine sorgfältige Verwaltung der Berechtigungen und die fortlaufende Überwachung des Kontos ersetzt diese Maßnahme jedoch nicht.

Die API-Funktionen und Sicherheitseinstellungen unterscheiden sich je nach Kryptobörse. Bevor Nutzer einen Schlüssel erstellen oder ändern, sollten sie die API-Dokumentation von Binance sowie die aktuellen Kontoeinstellungen ihrer jeweiligen Börse prüfen.

Maßnahmen für betroffene Nutzer

Wenn Sie SignalPlus mit einer Kryptobörse verbunden haben, sollten Sie folgende Vorsichtsmaßnahmen erwägen:

1. Greifen Sie direkt auf die Kryptobörse zu. Verwenden Sie die offizielle App oder eine gespeicherte Adresse der Börse und keinen Link aus einer unerwarteten Nachricht.
2. Überprüfen Sie Positionen und offene Aufträge. Achten Sie auf Aktivitäten, die Sie nicht selbst veranlasst haben, und prüfen Sie, ob Ihre bestehenden Derivatepositionen weiterhin Ihren Absichten entsprechen.
3. Kontrollieren Sie verbundene API-Schlüssel. Prüfen Sie den Status der mit SignalPlus verknüpften Schlüssel und entfernen Sie alle Schlüssel, die Sie nicht mehr benötigen.
4. Warten Sie auf offizielle Hinweise zur Wiederaufnahme des Betriebs. Erstellen oder verbinden Sie einen API-Schlüssel nicht allein deshalb erneut, weil eine Nachricht behauptet, der Dienst sei wieder verfügbar.
5. Vergeben Sie nur die unbedingt erforderlichen Berechtigungen. Aktivieren Sie beim erneuten Verbinden einer Anwendung ausschließlich die für deren vorgesehenen Zweck notwendigen Zugriffsrechte und nutzen Sie, sofern verfügbar, eine IP-Whitelist.
6. Achten Sie auf Betrugsversuche durch Identitätsvortäuschung. Angreifer könnten den Sicherheitsvorfall als Vorwand für gefälschte Support- oder Entschädigungsnachrichten nutzen. Geben Sie niemals Passwörter, API-Geheimnisse oder Wiederherstellungsphrasen als Antwort auf solche Nachrichten weiter.

Falls Sie verdächtige Aktivitäten feststellen, wenden Sie sich über die offiziellen Supportkanäle an Ihre Kryptobörse und sichern Sie alle relevanten Kontodaten und Aufzeichnungen.

Eine allgemeine Lehre für die Sicherheit von Kryptowerten

Der Vorfall bei SignalPlus zeigt, wie eine Sicherheitslücke außerhalb einer Kryptobörse Nutzer treffen kann, die auf eine vernetzte Handelsinfrastruktur angewiesen sind. Kontosicherheit bedeutet daher mehr als nur den Schutz des Börsenpassworts: Ebenso wichtig sind die regelmäßige Überprüfung angebundener Dienste, die Begrenzung von API-Berechtigungen und die laufende Kontrolle offener Positionen.

Für Kryptowerte, die außerhalb einer Börse verwahrt werden, kann eine Hardware-Wallet wie OneKey dabei helfen, private Schlüssel bei der Selbstverwahrung zu schützen. Sie schützt jedoch weder API-Schlüssel einer Kryptobörse noch verhindert sie unbefugte Handelsaktivitäten über einen verbundenen Dienst. Solche Risiken erfordern separate Sicherheitsmaßnahmen sowohl aufseiten der Börse als auch auf Anwendungsebene.