Wat te doen na uw eerste cyberaanval – zodat er geen tweede komt

Phemex deelt haar geleerde lessen uit haar ongekende incursus.

Zelfs thought leaders zijn vatbaar voor de risico’s van het runnen van een bedrijf online. Phemex, een hybride handelsplatform dat uitmuntende processen van zowel gecentraliseerde als gedecentraliseerde platforms combineert, werd eind januari getroffen door een aanval van een ernstige dreigingsactor.

In plaats van zich terug te trekken voor deze ongewenste gebeurtenis, besloot het Phemex-team er openhartig en transparant over te zijn – en misschien is dat wel de belangrijkste les die zij hieruit kunnen trekken.

“We willen dit artikel gebruiken om het incident te bespreken, uit te leggen hoe we ermee zijn omgegaan en toe te lichten welke maatregelen we hebben genomen om dergelijke incidenten in de toekomst te voorkomen,” zegt Phemex CEO Federico Variola.

Hij benadrukte dat, hoewel de aanval afkomstig was van een zeer geavanceerde bedreiger, de overgrote meerderheid van de gebruikersfondsen nooit in gevaar was en de beurs alle verliezen van gebruikers heeft gedekt.

“We hebben ook onze kernactiviteiten zo snel mogelijk hervat en onmiddellijk onze beveiligingsinfrastructuur voor hot wallets vernieuwd om deze beveiligingsrisico’s in de toekomst sterk te minimaliseren,” vervolgde hij.

Aanval en verdediging

De aanvaller heeft een geschiedenis van crypto-hacks en wordt als uiterst geavanceerd beschouwd, waardoor de aard van de cyberaanval complex was en moeilijk te voorkomen. Deze daders zijn door de wetshandhavers niet publiekelijk geïdentificeerd, maar verblijven vermoedelijk in een staat die dergelijke acties ondersteunt en zijn waarschijnlijk beschermd tegen vervolging of andere juridische stappen.

De recente hack van Bybit lijkt volgens Variola gerelateerd te zijn aan dezelfde groep, maar de incidenten verschillen.

“In ons geval was een hot wallet het doelwit,” zei hij. “In het geval van Bybit was het hun belangrijkste ETH cold wallet.”

Phemex maakt gebruik van aparte hot- en cold-walletsystemen om het risico op verlies bij “edge cases” te minimaliseren – een term uit de cybersecurity voor een probleem of situatie die zich voordoet aan de uiterste grens van wat normaal of verwacht is.

“Alleen gelden uit onze hot wallet zijn gestolen, en het minimaliseren van dat verlies is precies de reden waarom wij aparte hot en cold wallets hebben,” aldus Variola. “Wat er is gebeurd is ongetwijfeld een negatieve gebeurtenis, maar het valt binnen de grenzen van wat acceptabel is voor onze beurs om te verwerken.”

De aanval werd uitgevoerd via social engineering, waarbij Phemex-medewerkers via Telegram werden benaderd. A volledig incidentrapport verschijnt op Medium.

Schattingen plaatsen de totale waarde van de gestolen fondsen ter waarde van $85 miljoen, dus transparantie en betrouwbaarheid naar gebruikers toe behoorden tot de hoogste prioriteiten van Phemex tijdens de aanval.

“We hebben de gebruikers onmiddellijk op de hoogte gebracht,” vervolgt Variola, “en konden hen geruststellen dat hun fondsen veilig waren door hen aan te moedigen dit zelf te verifiëren met behulp van onze zelfverificerende "Merkle Tree Proof-of-Reserves Tool.”

Zodra Phemex de schade had ingeperkt en geëvalueerd, was de volgende stap het minimaliseren van de schade. Sommige fondsen zijn inmiddels teruggevonden. Gestolen middelen die opdoken op andere beurzen werden onmiddellijk bevroren.

“De terugwinning van fondsen is momenteel nog steeds aan de gang en we hopen een aanzienlijk bedrag aan gestolen activa te recupereren,” zegt Variola. Desalniettemin “hebben we nog steeds de middelen om op volle capaciteit te opereren.”

In de tussentijd werkt Phemex samen met wetshandhavingsinstanties, cybersecuritybedrijven en andere cryptoplatforms aan het herstelproces. De beurs slaagde erin om binnen 24 uur de kernfunctionaliteit voor gebruikers te herstellen – mogelijk een van de snelste hersteloperaties na een hack door een gevestigde crypto-exchange. Daarna voerde Phemex een strikte, handmatige controle van stortings- en opname-transacties in om de veiligheid te versterken en te waarborgen dat er geen kwaadaardige transacties werden uitgevoerd in de directe nasleep.

Geleerde lessen, genomen acties

Onmiddellijk na de inbreuk heeft het technische team van Phemex een nieuwe, robuustere beveiligingsinfrastructuur voor hot wallets ontworpen en geïmplementeerd.

“Een belangrijke les die we hebben geleerd en waar we over hebben nagedacht, is dat Phemex zeer snel is gegroeid tijdens de laatste bullmarkt en sommige van onze operationele procedures achterbleven bij onze groei,” zegt Variola. “Deze cyberaanval heeft aangetoond dat de beveiligingsmaatregelen die voor onze eerdere omvang toereikend waren, nu niet langer acceptabel zijn voor onze huidige schaal.”

De nieuwe structuur van Phemex is ontworpen met een zero-trust architectuur in gedachten en maakt gebruik van geavanceerde Enclave-technologie. Dit omvat AWS Nitro om robuuste, chipniveau-beveiliging voor hot wallets te realiseren.

Hoewel dit het onmiddellijke probleem oplost, zou het Phemex niet voorlopen op de hackers. Daarom heeft het team stappen ondernomen om alle wallets te beschermen die door een van haar gebruikers kunnen worden beheerd.

“We zijn van plan een gelaagd portemonneesysteem met cold wallets te gebruiken,” zegt Variola. “Dit zal ook gelden voor hot wallets – die voortaan een veel kleiner deel van onze fondsen zullen bevatten.”

Het gelaagde systeem is ook van toepassing op warme wallets, die de internetverbinding, snelheid en efficiëntie van hot wallets combineren met de verbeterde veiligheid en handmatige controle van cold wallets.

Phemex breidt ook het personeel uit dat zich richt op de beveiliging van de infrastructuur, met verschillende teams die afzonderlijke elementen toezicht houden en minder personen toegang hebben tot het gehele systeem. Van begin tot eind belooft Variola dat elke taak zal worden beoordeeld door toonaangevende externe partijen in de industrie.

Dat zou het tempo van de serviceverlening van Phemex met een stap kunnen vertragen, maar het team van Variola is ervan overtuigd dat het gedaan moet worden.

„De operaties van onze beurs zullen complexer worden met het nieuwe systeem, maar dit is onvermijdelijk omdat veiligheid de hoogste prioriteit heeft,” zegt Variola. „Wij hebben groot vertrouwen in het nieuwe systeem en wij vragen derde-partijkeurmerken aan voor deze beveiligingsnormen.”