Violazione della sicurezza di SignalPlus costringe gli exchange a sospendere le api

Binance e Deribit hanno revocato le chiavi API collegate alla piattaforma di trading di derivati cripto SignalPlus come misura precauzionale dopo un attacco informatico che ha compromesso l’accesso di terze parti.

Le due piattaforme hanno precisato che i loro sistemi principali non risultano compromessi; tuttavia Deribit ha segnalato che le funzionalità di trading, monitoraggio e automazione attraverso SignalPlus sono temporaneamente interrotte per i clienti che utilizzavano l’integrazione.

Dettagli sull’intrusione

Secondo la ricostruzione fornita dall’azienda, l’attacco è iniziato dalla compromissione di un account Telegram appartenente a un contatto di un fornitore tecnologico esterno. L’aggressore si è spacciato per il contatto e ha inviato a un ingegnere di SignalPlus un invito falsificato a una riunione su Microsoft Teams, riuscendo in tal modo a infettare il computer dell’impiegato.

L’aggressore è rimasto dormiente sul dispositivo compromesso per poi sfruttare i privilegi dell’ingegnere per penetrare la rete interna di SignalPlus nelle fasi iniziali dell’intrusione. L’azienda ha dichiarato di aver individuato e contenuto l’accesso non autorizzato.

SignalPlus ha scritto:

“Ci assumiamo la responsabilità per questa svista. Abbiamo rilevato e circoscritto l’incidente, con perdite complessive inferiori a 82.000 dollari, e abbiamo già iniziato a rimborsare completamente gli utenti coinvolti.”

SignalPlus ha aggiunto che sospenderà temporaneamente i servizi per completare revisioni di sicurezza e applicare le patch necessarie, prevedendo di ripristinare le operazioni nei prossimi giorni.

Misure di sicurezza e responsabilità del fornitore

L’azienda ha ammesso di non aver imposto in passato la tecnica del IP whitelisting per l’accesso alle API degli exchange, definita una “svista” e ora al centro delle contromisure. Il meccanismo di IP whitelisting limita l’accesso alle interfacce di programmazione a un elenco predefinito di indirizzi internet autorizzati, riducendo il rischio di accessi non autorizzati.

La vicenda sottolinea la criticità della catena di fiducia tra exchange, piattaforme di terze parti e fornitori tecnologici: una singola postazione compromessa può fungere da veicolo per violazioni che impattano clienti professionali e istituzionali.

Contesto e attacchi precedenti

L’incidente di SignalPlus arriva a breve distanza dalla divulgazione di un attacco su larga scala ai danni di Binance, che aveva subito un furto multimiliardario e che, a seguito delle indagini, ha attribuito parte del successo degli aggressori a computer aziendali compromessi tramite tecniche di spear-phishing che prendevano di mira ingegneri con falsi incarichi di lavoro.

Yi He, cofondatrice di Binance, ha invitato le piattaforme terze connesse all’exchange a riesaminare i controlli di sicurezza e a monitorare attività sospette, osservando che la minaccia supera i confini di qualunque singola azienda.

In una nota più ampia, Binance ha riferito di aver intercettato e fermato numerose minacce informatiche sospettate di collegamenti con la Corea del Nord nel corso del 2026, tra cui false interviste di lavoro e pacchetti software malevoli mirati al furto di credenziali.

Impatto per trader professionali e istituzionali

SignalPlus fornisce infrastrutture per il trading dei derivati cripto, in particolare le opzioni, consentendo a operatori professionali e istituzionali di gestire posizioni su più exchange da un’unica interfaccia. Un’interruzione di questo tipo aumenta il rischio operativo: ordini automatizzati che non vengono eseguiti, monitoraggio del rischio interrotto e potenziali perdite indirette per chi fa uso intensivo di algoritmi.

Per le controparti istituzionali, eventi ripetuti di questo genere possono frenare l’adozione del mercato dei derivati cripto o spingere a richiedere standard contrattuali più stringenti nei rapporti con fornitori di servizi di trading.

Raccomandazioni operative

La vicenda rafforza alcune pratiche difensive ormai imprescindibili: applicare IP whitelisting per le API, attivare l’autenticazione a più fattori, segmentare le reti interne, monitorare i privilegi d’accesso e sottoporre a verifiche regolari i fornitori terzi. Anche la formazione mirata del personale contro il phishing resta fondamentale per ridurre il rischio di compromissione iniziale.

Yi He ha esortato:

“Le piattaforme terze integrate devono rivedere i loro controlli di sicurezza e vigilare costantemente su attività sospette per proteggere utenti e mercato.”

Per gli operatori italiani interessati ai mercati digitali, è consigliabile rivedere i contratti con fornitori esterni e richiedere garanzie tecniche specifiche, oltre a valutare l’impatto operativo di eventuali interruzioni sui processi di compliance e gestione del rischio.

In sintesi

• Un attacco che sfrutta canali di comunicazione e fornitori terzi evidenzia come la sicurezza informatica nel settore crypto dipenda tanto dalla postura degli exchange quanto da quella degli ecosistemi di integrazione; per gli investitori significa valutare anche il rischio di controparte tecnologica.
• Per il mercato dei derivati cripto, interruzioni dei servizi di aggregazione e automazione possono tradursi in volatilità e disallineamenti di prezzo tra borse, aumentando i costi di copertura per gli operatori istituzionali.
• Un’ondata di incidenti simili può accelerare interventi regolatori in Europa e in Italia volti a imporre standard minimi di sicurezza per fornitori di infrastrutture e servizi connessi a strumenti finanziari digitali.
• Dal punto di vista degli investimenti, la domanda di soluzioni di sicurezza e audit per servizi cloud e API potrebbe crescere, creando opportunità per fornitori specializzati nella protezione delle filiere tecnologiche della finanza digitale.