Två hack senare: FixedFloats överlevnadshistoria

I februari drabbades den decentraliserade kryptovalutabörsen FixedFloat av en dräneringsattack, vilket resulterade i att Bitcoin (BTC) och Ethereum (ETH) gick förlorade till ett värde av över 26 miljoner dollar. I slutet av mars drabbades börsen av en andra exploatering, vilket ledde till en ytterligare förlust på 2,8 miljoner dollar.

Några månader senare delade FixedFloat med sig av detaljerna om dessa incidenter och den pågående utredningen med BeInCrypto.

FixedFloat har blivit hackad två gånger i år. Hur gick det till?

Det första hacket inträffade natten mellan den 16 och 17 februari. Detta var en extern attack som orsakades av sårbarheter i vår säkerhetsstruktur. En hackare utnyttjade en sårbarhet i vår säkerhet och kunde få tillgång till några av FixedFloats funktioner. Det andra intrånget ägde rum den 31 mars, där hackaren utnyttjade en sårbarhet i en tredjepartstjänst som vi använde vid den tidpunkten.

Begicks det andra hacket av samma hackare som begick det tidigare hacket, eller var det en annan angripare?

Vi tror att samma hackare begick båda hackningarna eftersom attackerna kom från samma IP-adress. Vi kan inte ge alla detaljer för tillfället. Vi kan dock rapportera att hackare har ett stort antal komprometterade servrar.

På vissa av dessa servrar har de distribuerat infrastrukturen för attacker. De lagrade sannolikt inte bevis på sina egna enheter, utan använde istället servrar från tredje part. Hackarna använde många unika IP-adresser; Vissa användes dock för att starta båda attackerna.

Har du information om exakt vem som ligger bakom hackarna?

Vi har använt Time4VPS hosting under lång tid. Detta är en ganska stor webbhotellleverantör i Europa, som har funnits sedan 2012. Vi valde Time4VPS för våra ändamål, eftersom detta webbhotell erbjuder ganska billiga servrar med låg prestanda. Detta var ett bekvämt och lönsamt alternativ för att implementera vissa tekniska lösningar i det inledande skedet av utvecklingen av vårt projekt.

Under de senaste åren har vi migrerat våra underservrar och plånböcker. I början av 2024 fanns flera lågeffektnoder med plånböcker och vissa delsystem kvar på Time4VPS-servern. Efter det första hacket upptäckte hackaren IP-adressen till en av våra tekniska servrar som hyrts från Time4VPS.

Hur använde hackaren informationen?

Hackaren loggade in på alla våra servrar, som hyrdes från Time4VPS-hosting, samtidigt, trots att de bara kände till en IP-adress. Vi ändrade omedelbart alla lösenord på servrar och konton, men hackaren ändrade snabbt lösenorden igen. Vi hittade en lösning för att förhindra serverauktorisering och började övergå från denna värdleverantör.

Hackaren fick dock tillgång till alla värdfunktioner, inklusive global åtkomst till alla servrar, vilket gjorde våra lösningar ineffektiva. Hackaren ändrade kontots e-postadress till en ogiltig, vilket hindrade oss från att logga in eller ta emot meddelanden om lösenordsändringar. De anslöt till servrarna utan tillstånd.

Vid det här laget insåg vi behovet av att förstöra servrarna och ta bort dem från vitlistorna omedelbart. Vår fördröjning med att göra det gjorde det möjligt för hackaren att skicka förfrågningar som gjorde det möjligt för dem att stjäla pengar.

Har du kontaktat Time4VPS support?

Den 31 mars, omedelbart efter att ha upptäckt obehörig åtkomst till våra servrar, kontaktade vi Time4VPS för att rapportera hacket. Vi blev oerhört förvånade över deras passivitet. Teknisk support informerade oss om att teknikerna var lediga och inte kunde hjälpa oss. Dagen därpå förblev Time4VPS-teamet inaktivt. De rådde oss bara att ändra lösenorden på vårt konto.

Vi övertygade dem till slut att verifiera att vissa åtgärder inte kunde utföras via deras personliga konto. Först då bekräftade de hackningen och lovade att lämna en rapport om händelsen nästa dag.

Har du fått en hackrapport från Time4VPS?

Mer än tre månader har gått och det finns fortfarande ingen rapport från Time4VPS. Istället begärde de att vi skulle tillhandahålla vissa dokument via deras system. Vi vägrade eftersom Time4VPS-representanter inte har bekräftat att de hittat och åtgärdat sårbarheten. Deras krav har skapat en risk för ett nytt informationsläckage.

Vi kom överens om att endast samarbeta med direkt inblandning av brottsbekämpande myndigheter eller efter att de bekräftat att sårbarheten hade korrigerats. Dessutom var vår advokat beredd att tillhandahålla de nödvändiga dokumenten direkt på företagets kontor för att ta emot rapporter och hjälp. Time4VPS ledning avvisade dock detta erbjudande.

Varför tror du att Time4VPS var inaktiv vid tidpunkten för hacket och inte gav hjälp efter det?

Vi utesluter inte möjligheten att en värds anställda kan ha underlättat hackningen. Vi är dock mer benägna att tro att Time4VPS och det litauiska företaget bakom det helt enkelt är slarviga. Vi tror att värdens kritiska sårbarheter förblir oåtgärdade, vilket gör att alla deras kunders data är oskyddade från hackerattacker.

Påverkade hacket dina kunder?

Denna incident orsakade problem inte bara för oss utan också för våra användare. Så snart vi upptäckte hacket stängde vi av FixedFloat och stängde av alla pågående utbyten.

FixedFloat är en automatiserad, icke-förvarande, decentraliserad kryptovalutaväxlingstjänst, så vi lagrar inte våra användares pengar. Dessutom är FixedFloat inte en mixer för kryptovaluta. Vi skickar endast pengar till börser från våra adresser, och denna information är offentlig.

På grund av hacket hade vi skyldigheter gentemot kunder som gjorde byten vid den tiden. Vi har sedan dess uppfyllt alla skyldigheter gentemot våra användare och slutfört alla beställningar som stoppats på grund av serviceavbrottet. Endast vår tjänst drabbades av hackning och stöld av pengar.

Vilka åtgärder vidtog du efter hacket?

Det första intrånget berodde på en säkerhetsbrist, som vi sedan dess har åtgärdat. Tyvärr förväntade vi oss inte en attack från tredje part. Efter det andra hacket var vår tjänst under underhåll i över två månader. Under denna period arbetade våra specialister mycket med att förbättra vår infrastruktur och skydda mot sådana attacker.

Vi har radikalt reviderat vårt säkerhetssystem. Detta inkluderade att genomföra en omfattande revision, implementera ytterligare säkerhetsåtgärder och förbättra våra system för upptäckt och förebyggande av hot.

Har du slutfört det tekniska arbetet?

Ja, FixedFloat har återupptagit sin verksamhet. De flesta kryptovalutor är redan tillgängliga för utbyte, och våra specialister arbetar med att lägga till nya valutor. Vi har tillhandahållit högkvalitativa, bekväma och snabba växlingstjänster för kryptovaluta i sex år, och vi har för avsikt att fortsätta vårt arbete.

Kan du ge några rekommendationer till andra plattformar och dess användare om hur man kan öka säkerheten ur ett perspektiv som överlevt ett hack?

Som en tjänst som har utsatts för två hackningar av olika anledningar rekommenderar vi följande:

• Genomför frekventa granskningar av dina säkerhetssystem. Identifiera och åtgärda alla sårbarheter snabbt.
• Planera för sårbarheter i providern. Det andra hacket utnyttjade en sårbarhet hos vår hostingleverantör, Time4VPS. Plattformar bör förutse sådana scenarier och ha en robust procedur för att hantera hackning av tjänsteleverantörer.
• Prioritera alltid användarsäkerheten. Implementera strikta säkerhetsåtgärder och protokoll för att skydda användardata och pengar.

Vilka åtgärder vidtar du för att återfå användarnas förtroende efter dessa olyckor?

Vi engagerar oss aktivt med våra användare genom olika kommunikationskanaler, inklusive sociala nätverk och forum. Detta gör det möjligt för oss att informera dem om de ändringar vi har gjort. För närvarande är inte alla användare medvetna om att FixedFloat har återupptagit sin verksamhet, men vi arbetar för att sprida denna information.

Vi förstår att många var oroliga för hackets inverkan på våra användare. Vi betonar dock att vi är en icke-förvaringstjänst och lagrar inte användarmedel. Ordrar som inte distribuerades på grund av nödstoppet har slutförts. För närvarande har vi inga ekonomiska skyldigheter gentemot våra användare.