Több ezer felhasználói adat került veszélybe az egyik legnagyobb kriptotőzsdén
Az adatszivárgás könnyen lehetett volna „a történelem legnagyobb kripto-adatlopása”, ha egy támadó észreveszi és kihasználja a sebezhetőséget, írta Phillips a blogjában.
A fehér kalapos hacker és kutató, Aaron Phillips szerint a Huobi 2021 júniusában véletlenül közzétett egy Amazon Web Services (AWS) felhasználói adatokat tartalmazó fájlt, amely 4960 „kriptobálna” elérhetőségi és fiókinformációit, valamint belső dokumentumokat szivárogtatott ki.
„A felhasználói adatokat bárki felhasználhatta volna, többek között a huobi.com és a hbfile.net domainek tartalmának módosítására” – tette hozzá Phillips. „A Huobi üzleti tevékenységének szinte minden területéről származó adatokhoz hozzáférésem volt”.
5 hónapig tartott, mire a tőzsde reagált a sebezhetőségre
Phillips először 2022 júniusában értesítette a Huobit a problémáról, és öt hónapba telt, mire a tőzsdétől választ kapott a szivárgás elleni fellépéssel kapcsolatban. A Huobi végül június 21-én oldotta meg a problémát.
A “sérülés” legveszélyesebb aspektusa a Huobi tartalomelosztó hálózatainak (CDN) és weboldalainak írási jogosultságaihoz való hozzáférést érintette. (CDN = az a technológia, ami egy weboldal tartalmát több, különböző országokban található szerveren helyezi el, és minden látogatót a hozzá legközelebbi szerverről szolgál ki).
„Amint egy támadó írni tud egy CDN-be, nulla perc alatt lehetőséget talál arra, hogy rosszindulatú szkripteket juttasson be. És ha egyszer egy CDN-t feltörtek, akkor potenciálisan az összes olyan webhely is veszélybe kerül, amely hozzá kapcsolódik”.
Phillips állítása szerint a Huobi kiszivárgása a 2017 óta folyó tőzsdén kívüli (OTC) kereskedések adatbázisát is feltárta. Az adatbázis egy 2 terrabyte-os letölthető fájlban tartalmazta a felhasználói fiókok adatait, a tranzakciók részleteit és a kereskedők IP-címét.
A szivárgás emellett feltárta a Huobi termelési infrastruktúrájának belső működését, és hozzáférést adott a cég NFT projektjének – Utopo – módosított JSON fájljaihoz is.
A Houbi szerint a helyzet “nem volt olyan vészes”
A Huobi június 1-jei válaszában közölte, hogy a Phillips által említett OTC-szivárgás adatai “nem valós, hanem tesztadatok” voltak. Állításuk szerint a kiszivárgás mindössze 4000 felhasználó adatait érinti.
Huobi responded that the incident occurred on June 22, 2021, which was caused by the irregular operation of relevant personnel in the S3 barrel of the test environment of the Japanese station, and the relevant user information was completely isolated on October 8, 2022.
After…
— Wu Blockchain (@WuBlockchain) July 1, 2023
A tőzsde szerint az adatvédelmi incidens „a Huobi japán AWS-oldalának tesztelési környezetében lévő adattárolókért felelős személyzet helytelen tevékenysége miatt következett be”. Hozzátették: “Az összes ide kapcsolódó felhasználói adatot 2022. október 8-án teljesen elkülönítettük”.
A tőzsde tagadta, hogy a szivárgás érzékeny információkat érintene és veszélyeztetne bármennyi felhasználói fiókot.