Huobi herstelt datalek dat de contactgegevens van 4.960 gebruikers lekte

Huobi heeft per ongeluk een set inloggegevens blootgesteld die toegang gaven tot de cloud-opslag van de crypto exchange. Daardoor liepen gebruikersgegevens risico. Huobi heeft het gecompromitteerde account verwijderd en zijn opslag beveiligd.

AWS S3 Buckets

De crypto exchange Huobi heeft stilletjes een datalek hersteld. Het lek bracht de bezittingen van gebruikers in gevaar. Naar verluidt bestaat het lek al sinds juni 2021.

Het lek betrof de blootstelling van inloggegevens die schrijfrechten verleenden aan alle AWS S3-buckets van Huobi. Deze gebruikt het bedrijf voor zijn cloud-opslag.

Lek met potentie voor grootste crypto diefstal uit de geschiedenis

Iedereen met toegang tot de inloggegevens kon de content op de domeinen van Huobi wijzigen. Bovendien liepen gebruikersgegevens en interne documenten ook het risico op blootstelling. De ernst van het lek was significant.

Naar verluidt zou het lek de potentie hebben gehad om ten prooi te vallen aan "de grootste crypto diefstal in de geschiedenis." Huobi verwerkt meer dan $10 miljard aan handelsvolume per maand. Het bedrijf verwijderde het gecompromitteerde account en beveiligde zijn cloud-opslag op 20 juni. Er is geen bewijs gevonden dat het lek zou zijn gebruikt voor het uitvoeren van een aanval.

Kwetsbare CDN

De kwetsbaarheid van de content delivery networks (CDN) en websites van Huobi wordt hiermee benadrukt. Deze kunnen leiden tot het injecteren van kwaadaardige scripts. De netwerken hadden elke Huobi login-pagina kunnen compromitteren.

Mogelijk met invloed op elke gebruiker die de afgelopen twee jaar inlogde op een Huobi website of een applicatie. Huobi riskeerde dat gebruikers hun account en crypto-assets verloren en gevoelige informatie blootstelden.

Zoals contactgegevens en account balansen van crypto gebruikers. Dit omvatte een database met crypto wales en OTC handelsgegevens van Huobi.

Huobi laat weten: probleem opgelost

In een reactie laat Huobi weten dat het incident het lekken van gebruikers contactinformatie op kleine schaal betrof. Het gaat om 4.960 individuen. De data zou geen gevoelige informatie bevatten of invloed hebben op de accounts en veiligheid van de fondsen.

Het incident vond plaats op 22 juni 2021, als gevolg van onjuiste handelingen van personeel in verband met de S3-bucket in de testomgeving van de Huobi AWS website. De relevante gebruikersinformatie was volledig geïsoleerd op 8 oktober 2022.

Huobi laat in een reactie weten:

"De Japanse Huobi website en de Huobi Global website zijn volledig verschillende entiteiten. Nadat het door een white hat team was ontdekt, heeft het Huobi Security Team op 21 juni 2023 actie ondernomen. We hebben de relevante bestand toegangsrechten onmiddellijk gesloten. Het huidige probleem is opgelost en alle gerelateerde gebruikersinformatie is verwijderd. We waarderen de bijdragen die het white hat team heeft geleverd aan de beveiliging van Huobi."

Opgelost maar...

De reactie van Huobi op het lek loste uiteindelijk het probleem op en beveiligde de cloud opslag. Het duurde echter maanden voordat het white hat team een reactie kreeg van Huobi. Ook bleven de gelekte inloggegevens maanden online staan. Zelfs nadat Huobi voor het eerst op de hoogte werd gebracht van het probleem in juni 2022.