Корейська DAXA зобов’язала скасувати підозрілі спільні API-ключі п’яти найбільших бірж, запровадивши IP-уайтлист

Асоціація цифрових активів Південної Кореї (DAXA) 29 травня запровадила нові правила відповідності, які вимагають, щоб Upbit, Bithumb, Coinone, Korbit і Gopax анулювали API-ключі, підозрювані в неналежному спільному використанні між користувачами. DAXA підтвердила, що запровадить систему IP-білих списків, але ще не розкрила конкретні методи виявлення спільного доступу до API.

Нові заходи DAXA: анулювання, повторна верифікація та IP-білий список

У своїх нових правилах DAXA підтвердила, що якщо членські біржі виявлять підозрілу поведінку щодо спільного використання API, вони застосують поетапні заходи: посилений моніторинг, попередження користувачів, згодом обов’язкову повторну верифікацію та, зрештою, анулювання API-ключів, щодо яких підозрюється спільний доступ.

Паралельно членські біржі запровадять систему IP-білих списків, яка обмежуватиме доступ до API лише підключеннями з адрес, схвалених самою біржею. Раніше Binance, Coinbase, OKX і Kraken вже підтримували IP-білі списки та керування правами для API; нові правила DAXA мають на меті примусово впровадити такий контроль на біржах у Південній Кореї.

Підтверджені FSS схеми маніпуляцій і відома історія зловживань API

FSS зазначила, що деякі трейдери використовують підхід «неодноразової подачі та скасування великих заявок на купівлю», аби створювати фальшиві сигнали попиту, а потім після того, як ціну піднімають, виконують продаж. FSS підтвердила, що не розкрила кількість рахунків, які наразі перебувають під розслідуванням.

Що стосується історичного тла, у березні 2022 року в події 3Commas сталося витік близько 100 тисяч API-ключів; пов’язані ключі були адресовані акаунтам бірж Binance та KuCoin. Криптоінфраструктурна компанія Sodot підтвердила, що багато API-пов’язаних інцидентів зазвичай узагальнено класифікують як типові хакерські атаки, без коректного розкриття того, що це були інциденти з витоком облікових даних.

Питання та відповіді

Які саме конкретні заходи вимагають нові правила DAXA для API та для яких бірж вони застосовуються?

Згідно з підтвердженням DAXA, нові правила вимагають від п’яти бірж — Upbit, Bithumb, Coinone, Korbit і Gopax — після виявлення підозрілої поведінки щодо спільного використання API виконувати: посилений моніторинг, попереджати користувачів, здійснювати обов’язкову повторну верифікацію, згодом анулювати API-ключі, щодо яких підозрюється спільний доступ, а також запровадити систему IP-білих списків. DAXA підтвердила, що не розкрила конкретні методи виявлення.

Яка саме ринкова техніка маніпуляцій, підтверджена FSS, і до якого типу порушень вона належить?

FSS підтвердила, що позначені схеми маніпуляцій включають: неодноразову подачу та скасування великих заявок на купівлю для створення фальшивих сигналів попиту, а потім виконання заявок на продаж після того, як ціну піднімають; це належить до шахрайського ціноутворення на ринку (Spoofing). FSS підтвердила, що не розкрила конкретну кількість акаунтів, які перебувають під розслідуванням.

Який зв’язок між подією 3Commas 2022 року та цими новими правилами DAXA?

Подія 3Commas сталася у 2022 році: стався витік близько 100 тисяч API-ключів, а пов’язані ключі були зіставлені з акаунтами Binance та KuCoin. Нові правила DAXA мають на меті з боку комплаєнсу вимагати від бірж активно виявляти та контролювати поведінку щодо спільного використання API, а не чекати, поки станеться інцидент із витоком, а потім реагувати.