Huobi в течение двух лет допускала утечку пользовательских данных 

Криптовалютная биржа Huobi устранила утечку данных, которая, как сообщается, подвергала риску активы пользователей с июня 2021 года. На это обратил внимание белый хакер Аарон Филлипс.

По его словам, нарушение было связано с раскрытием учетных данных, дающих права на запись во все корзины облачного хранилища Huobi AWS S3. Впервые Филлипс уведомил биржу об инциденте в июне 2022 года.

«Любой, у кого есть доступ к учетным данным, мог изменить контент на доменах Huobi, включая huobi.com и hbfile.net. Риску раскрытия также подвергались пользовательские данные и внутренние документы», — сообщил исследователь.

Филлипс утверждает, что серьезность взлома была значительной и могла привести к «крупнейшей краже криптовалют в истории». Тем не менее он не нашел доказательств того, что брешь использовалась для совершения атаки.

Хакер подчеркнул уязвимость сетей доставки контента (CDN) и сайтов Huobi, способную привести к внедрению вредоносных скриптов. По его словам, CDN могли скомпрометировать каждую страницу входа в Huobi, потенциально затрагивая каждого пользователя, заходившего на сайт или в приложение Huobi за последние два года. 

«Пользователи рисковали потерять свою учетную запись и криптоактивы и раскрывали конфиденциальную информацию, такую как контактные данные и балансы на счетах, включая данные внебиржевой торговли Huobi», — добавил Филлипс.

Представители биржи сообщили в комментарии The Block, что их специалисты удалили скомпрометированную учетную запись, закрыли разрешения на доступ к файлам и защитили облачное хранилище 21 июня. При этом в открытый доступ попала контактная информация 4960 клиентов торговой платформы.

«Утечка не включает конфиденциальную информацию и не влияет на учетные записи пользователей и безопасность средств. Инцидент произошел 22 июня 2021 года из-за неправильных действий персонала, связанных с корзиной S3, в тестовой среде японского сайта AWS Huobi. Соответствующая информация о пользователях была полностью изолирована 8 октября 2022 года», — отметили в Huobi.

В компании подчеркнули, что японский сайт биржи и глобальная платформа не связаны. 

Напомним, в декабре 2022 года криптовалютная биржа Gemini сообщила об утечке пользовательских данных в результате серии фишинговых атак.