• Хакеры взломали сервер подрядчика Coinone по обслуживанию клиентов — Metam — примерно в 4:00 утра 12 ноября.

• Coinone раскрыла перечень из 11 потенциально утекших категорий данных, включая пароли и номера регистрации жителей.

• Coinone узнала об утечке от Metam в 9:20 утра того же дня.

11 полей, включая пароли

15 ноября Coinone подтвердила, что информация о клиентах, обрабатывавшаяся внешним подрядчиком, оказалась раскрыта после того, как хакеры взломали серверы подрядчика. Южнокорейская биржа сообщила, что посторонние лица без разрешения получили доступ к системам Metam — компании, которая управляет ее службой поддержки клиентов на аутсорсинге, — и что целью злоумышленников стали персональные данные, собранные во время консультаций. Взлом произошел примерно в 4:00 утра 12 ноября, а Metam сообщила об инциденте Coinone в 9:20 утра того же дня.

Компания опубликовала список из 11 категорий данных, которые могли попасть в утечку: номер телефона, имя, адрес электронной почты, дата рождения, номер банковского счёта, пароль, регистрационный номер резидента, дата выдачи удостоверений личности, домашний адрес, адрес кошелька виртуальных активов и идентификатор транзакции TXID — строка, позволяющая определить отдельный перевод в блокчейне. В списке собраны виды информации, которые клиенты передавали во время консультаций в чате и по телефону. Это не означает, что каждый пользователь лишился всех этих данных: фактически раскрытая информация различается от аккаунта к аккаунту. Инцидент не затронул клиентов, у которых не было истории обращений в службу поддержки.

Coinone сообщила, что готовит сервис проверки и направит пользователям индивидуальные уведомления, чтобы каждый мог узнать, какие именно его данные попали в инцидент. Компания также подчеркнула, что аккаунты пользователей, торговая система и инфраструктура кошельков работают отдельно от серверов консультационной службы подрядчика, и на момент публикации уведомления никаких следов прямого проникновения в эти системы обнаружено не было.

Сообщения регуляторам и предупреждение о паролях

Узнав об утечке, Coinone заблокировала интернет-адреса и несанкционированные каналы доступа, использованные при атаке, и перевела клиентский центр на консультации только по электронной почте. Компания направила сообщения в Корейское агентство по интернету и безопасности (KISA), Комиссию по защите персональных данных и Службу финансового надзора и совместно с Metam и внешними специалистами выясняет, как произошло проникновение и каков масштаб ущерба. Она также усилила мониторинг необычных входов в систему и транзакций в режиме реального времени и заявила, что напрямую проверит систему управления безопасностью подрядчика, а также меры защиты, действующие во всей сети партнёров.

Биржа предупредила, что утекшие данные могут использоваться для голосового мошенничества, фишинговых писем, спам-сообщений и кражи личности. Всех, кто сообщал пароль во время консультации, попросили немедленно его сменить, а также обновить те же учётные данные в других сервисах, где они использовались повторно. Coinone напомнила клиентам, что никогда не запрашивает одноразовые пароли, коды аутентификации или вывод средств, а сообщения со ссылками на предыдущие консультации могут быть поддельными. Пользователи могут заблокировать свои аккаунты и проверить зарегистрированные адреса для вывода средств в приложении или на сайте. Компания также попросила сообщать о входах в систему, ордерах и выводах средств, которые они не совершали.

В уведомлении также говорится, что пострадавшие от утечки клиенты могут потребовать компенсацию, в том числе предусмотренную законом, в соответствии с законодательством Кореи. В нём разграничены два отдельных вопроса: раскрытие паролей, переданных во время обращений в поддержку, и возможный взлом собственной системы аккаунтов биржи — последнее пока не подтверждено. Инцидент произошёл вслед за аналогичным расследованием в Bithumb, где хакеры взломали внутреннюю систему для сотрудников, а биржа проверяла, утекли ли данные клиентов. Случай Coinone отличается тем, что атака пришлась на подрядчика, обслуживающего службу поддержки, а не на саму торговую платформу.

Утечка показывает, где находится реальная поверхность атаки централизованной биржи: во вспомогательных операциях с участием подрядчиков. Средства не перемещались, а раздельная архитектура торговой системы и кошельков, судя по всему, выдержала атаку, поэтому этот инцидент — компрометация данных, а не кража. Риск здесь косвенный. Адреса кошельков и TXID псевдонимны в публичном реестре, и DEX устроена так же; в сочетании с именами, регистрационными номерами резидентов и номерами телефонов они дают мошенникам убедительные данные для целевого фишинга. Передача операций на аутсорсинг характерна не только для криптоиндустрии: банки традиционного финансового сектора (TradFi) точно так же организуют работу кол-центров. Аудит подрядчиков, а не только холодное хранение, становится отличительным признаком лучших криптобирж, и теперь стоит следить за следующим отчётом Coinone, в котором будет подтверждён масштаб утечки.