Nick Percoco, Chief Security Officer der Kryptowährungsbörse Kraken, teilte einen Beitrag auf der Social-Media-Plattform X mit, in dem er darüber informierte, dass am 9. Juni ein Bug-Bounty-Programmalarm von einem Sicherheitsforscher eingegangen sei. Der per E-Mail erhaltene Alarm enthielt keine spezifischen Details, erwähnte jedoch die Entdeckung einer „extrem kritischen“ Sicherheitslücke, die möglicherweise den Kontostand der Plattform künstlich aufblähen könnte.

Kraken hat eine Schwachstelle identifiziert und behoben, die es einem böswilligen Akteur ermöglichen könnte, Geld auf sein Konto zu erhalten, ohne den gesamten Einzahlungsprozess abzuschließen. Das Problem resultierte aus einem kürzlich durchgeführten Update der Benutzererfahrung (UX), das es ermöglichte, Kundenkonten gutzuschreiben, bevor ihre Vermögenswerte vollständig freigegeben waren, was den Echtzeithandel auf den Kryptowährungsmärkten ermöglichte. Diese spezielle UX-Änderung wurde nicht ausreichend gegen solche potenziellen Angriffsvektoren getestet.

Darüber hinaus wurde festgestellt, dass drei Konten diese Sicherheitslücke innerhalb kurzer Zeit ausgenutzt hatten. Nach einer gründlichen Untersuchung wurde festgestellt, dass eines dieser Konten dem Sicherheitsforscher gehörte, der den Fehler im System ursprünglich entdeckt und gemeldet hatte.

Der „Sicherheitsforscher“ teilte später zwei Mitarbeitern Einzelheiten zu diesem Fehler mit. Zusammen gelang es diesen drei Konten, fast 3 Millionen Dollar von Krakens Konten abzuheben, und zwar aus Krakens Kassen und nicht aus Kundenvermögen. Nachdem Kraken die Sicherheitsforscher kontaktiert hatte, um sie für das Entdecken einer Sicherheitslücke im Rahmen ihres Bug-Bounty-Programms zu belohnen, weigerten sich die Forscher, irgendwelche Gelder zurückzuzahlen, bis die Börse die möglichen finanziellen Auswirkungen des Fehlers abgeschätzt hatte, wenn er nicht gemeldet worden wäre.

Nick Percoco betonte, dass der Vorfall eher als Erpressung denn als legitime White-Hat-Hacking-Aktivität wahrgenommen wurde, obwohl er den Namen des beteiligten Forschungsunternehmens nicht preisgab. Er merkte weiter an, dass Kraken einen solchen Vorfall als kriminelle Angelegenheit betrachtet und beabsichtigt, bei Bedarf mit den Strafverfolgungsbehörden zusammenzuarbeiten.

Um es klar zu sagen: Die Vermögenswerte eines Kunden waren nie gefährdet. Ein böswilliger Angreifer könnte jedoch für einen gewissen Zeitraum effektiv Vermögenswerte auf seinem Kraken-Konto drucken.

– Nick Percoco (@c7five), 19. Juni 2024

Kraken Bug-Bounty-Programm schützt Kryptowährungsnutzer und bestätigt 22 Berichte im Jahr 2023

Kraken ermöglicht den Handel von Kryptowährungen gegen Fiat-Währungen. Darüber hinaus bietet es Dienstleistungen für den Handel mit Kryptowährungsderivaten und Futures an. Laut Angaben von CoinMarketCap belegt Kraken mit einem durchschnittlichen täglichen Handelsvolumen von rund 741 Millionen US-Dollar den sechsten Platz unter den globalen Kryptowährungsbörsen.

Das Bug-Bounty-Programm unterstützt Krakens Mission, Benutzer auf dem Kryptowährungsmarkt zu schützen. Kraken verpflichtet sich, keine rechtlichen Schritte gegen Sicherheitsforscher einzuleiten, die alle Kraken Bug-Bounty-Richtlinien einhalten. Einreichungen für die Initiative werden von Kraken bewertet, wobei die Auszahlungen je nach Schwere des Fehlers in BTC erfolgen. Im Jahr 2023 hat das Programm 22 Berichte von insgesamt 461 Einreichungen bestätigt.

Der Beitrag „Kryptobörse Kraken nach Bug-Bounty-Bericht erpresst, 3 Mio. US-Dollar aus Treasury-Vermögen abgezogen“ erschien zuerst auf Metaverse Post.