Foto: Grey82/Shutterstock
De grote crypto exchange Huobi heeft een datalek gedicht dat de potentie had om het grootste lek in de crypto geschiedenis te worden. Zonder het publiekelijk te melden heeft Huobi inmiddels de fout in het systeem opgelost, die al sinds juni 2021 de potentie had om geëxploiteerd te worden.
Potentieel grootste crypto diefstal aller tijden
De kwetsbaarheid werd ontdekt door de online beveiligingsspecialist Aaron Phillips. Volgens hem konden kwaadwilligen zonder al te veel moeite aan zeer gevoelige gegevens komen van Huobi. Het zou zelfs gaan om gegevens als het officiële admin-account van Huobi, met de rechten en toegang tot de complete cloudopslag van Huobi.
Zou men de gegevens en adminrechten voor eigen gebruik inzetten, dan zouden kwaadwilligen ongelimiteerd aanpassingen kunnen maken aan de opslag en de website van Huobi. Een individu zou met een simpele actie op deze manier enorme schade kunnen aanrichten aan het platform. Naast de site en cloudopslag zouden enorme hoeveelheden klantendata en interne documenten gelekt kunnen worden.
Huobi heeft volgens CoinMarketCap $2,7 miljard aan financiële reserves en verzorgt een dagelijks handelsvolume van meer dan $4 miljard. Het grootste deel hiervan zou mogelijk toegankelijk zijn geweest voor een hacker. Daarmee had de kwetsbaarheid in het system wellicht tot de grootste diefstal in de geschiedenis van de crypto industrie kunnen leiden.
Fout opgelost na twee kwetsbare jaren
Op 20 juni 2023 heeft Huobi de fout eindelijk opgelost, bijna twee jaar nadat hij ontstond. Het officiële account van Huobi met adminrechten is verwijderd en een nieuwe is aangemaakt. De toegangsgegevens tot het account zijn nog wel beschikbaar, maar men kan daar niets mee. Gebruikers van Huobi leiden geen risico meer.
Iedereen met de gegevens zou aanpassingen kunnen maken in de cloudopslag van Huobi. Phillips, de specialist die het ontdekte, kon zonder moeite aanpassingen maken en bestanden verwijderen. De specialist besloot zijn bevindingen voor goede doeleinden in te zetten en rapporteerde het aan de exchange. Volgens Phillips zijn er geen anderen geweest die hem zijn voorgegaan.
