Beveiligingslek ontdekt in API van omvangrijk cryptocurrencyplatform

Een groot cryptocurrencyplatform dat wereldwijd twee miljoen gebruikers telt is getroffen door een beveiligingslek. Het platform biedt een breed scala aan diensten waarmee klanten online cryptocurrencies kunnen kopen en uitwisselen. Salt Labs, de onderzoekstak van API security-speler Salt Security, ontdekte het lek bij externe authenticatie logins, waardoor cybercriminelen grootschalige ATO aanvallen (Account Take Over) zouden kunnen uitvoeren op de accounts van klanten.

De onderzoekers van Salt Labs ontdekten de kwetsbaarheid in de ‘User Login functionaliteit’ van het platform, toen ze gebruik maakten van de Google authenticatie functie. Net als veel externe authenticatiemethoden maakt Google gebruik van een standaard OpenID Connect (OIDC), wat een uitbreiding is op een andere veelgebruikte autorisatiestandaard, OAuth 2.0. Het cryptocurrency platform slaagde er niet in om OIDC correct te implementeren, waardoor het ID-verzoek voor de gebruikersauthenticatie naar de applicatieserver werd gestuurd en niet uitsluitend naar de OIDC-service.

Tegoeden stelen en accounts overnemen

Door de kwetsbaarheid hadden cybercriminelen de volgende activiteiten kunnen uitvoeren:

• Tegoeden van het slachtoffer kunnen overmaken naar cryptocurrency wallets of privé bankrekeningen;
• Het account van een slachtoffer voor een groot deel overnemen;
• De volledige toegang krijgen tot het account van een slachtoffer, geld overmaken naar iedere willekeurige locatie en andere financiële activiteiten uitvoeren namens het slachtoffer.

"Cryptocurrency platformen vertrouwen op API's voor de dataconnectiviteit, waar hun online diensten op draaien,” zegt Yaniv Balmas, VP of Research, Salt Security. "Het onderzoek van Salt Labs toont de gevaren aan die een API misconfiguratie kan veroorzaken. Daarnaast benadrukt het de noodzaak van een sterker inzicht in deze enorme API ecosystemen om kritieke diensten en de waardevolle data van klanten te beschermen. Zelfs een kleine security fout heeft het potentieel om een bedrijf te verwoesten."

Interessant doelwit voor aanvallers

Cryptocurrency-platforms vormen een interessant doelwit voor aanvallers. Zo vond onlangs de diefstal van 100 miljoen dollar aan cryptocurrency plaats bij Horizon, een blockchain bridge ontwikkeld door crypto start-up Harmony.
 
Volgens het Salt Security State of API Security Report, Q1 2022, heeft 95% van de organisaties in de afgelopen 12 maanden een API beveiligingsincident meegemaakt. Het cryptocurrency platform dat door Salt Labs is geëvalueerd, was vatbaar voor twee veelvoorkomende API-problemen:

• Verkeerde configuratie van de security (API-7)
• Gebrek aan resource- en snelheidsbeperking (API-4)

Bij het ontdekken van de kwetsbaarheid hebben de onderzoekers van Salt Labs alle problemen verholpen.
 
De volledige analyse is hier beschikbaar.