Die Kryptowährungsbörse Kraken hat bekannt gegeben, dass sie Opfer einer schwerwiegenden Sicherheitslücke geworden ist, die zum Diebstahl digitaler Vermögenswerte im Wert von 3 Millionen US-Dollar geführt hat. In einer überraschenden Wendung der Ereignisse wurde der Verantwortliche jedoch als CertiK identifiziert. Dieses Blockchain-Sicherheitsunternehmen behauptet, den Fehler ursprünglich über das Bug-Bounty-Programm von Kraken gemeldet zu haben.

CertiK wird nun vorgeworfen, weitere Schwachstellen auszunutzen und von der Börse noch mehr Geld zu erpressen, was zu Forderungen nach rechtlichen Schritten und Bedenken bei Krypto-Investoren geführt hat.

Sicherheitslücken bei Kraken aufgedeckt

Der Vorfall ereignete sich, als Nick Percoco, Chief Security Officer von Kraken, bekannt gab, dass die Börse am 9. Juni einen Fehlerbericht von einem selbsternannten Sicherheitsforscher erhalten hatte. Der Forscher behauptete, einen „extrem kritischen“ Fehler entdeckt zu haben, der es ihnen ermöglichte, ihr Guthaben auf der Plattform künstlich aufzublähen.

Bei weiteren Untersuchungen hat CertiK, das in einem Social-Media-Post seine Beteiligung an dem Vorfall zugab, mehrere kritische Schwachstellen in den Systemen von Kraken entdeckt, die möglicherweise zu Verlusten in Höhe von Hunderten Millionen Dollar führen könnten.

Verwandte Lektüre

Die Ergebnisse von CertiK enthüllten Mängel im Einzahlungssystem von Kraken, die darauf hindeuteten, dass es nicht zwischen internen Überweisungsstatus differenziert. Darüber hinaus ergaben die Tests von CertiK, dass Kraken alle diese Tests nicht bestanden hatte, was den kompromittierten Zustand des Defense-in-Depth-Systems von Kraken offenlegte.

Laut CertiK könnten „Millionen von Dollar“ auf jedes Kraken-Konto eingezahlt und eine beträchtliche Menge an erfundener Kryptowährung (im Wert von über 1 Million Dollar) abgehoben und in gültige digitale Vermögenswerte umgewandelt werden.

Das Sicherheitsunternehmen behauptete außerdem, dass während eines „mehrtägigen Testzeitraums“ keine Alarme ausgelöst wurden und dass Kraken erst Tage nach der offiziellen Meldung des Vorfalls reagierte und die Testkonten sperrte.

Nach der Identifizierung der Schwachstelle behauptet CertiK, dass das Sicherheitsteam von Kraken einzelne Mitarbeiter von CertiK „bedroht“ und die Rückzahlung eines „falschen“ Betrags in Kryptowährung innerhalb eines „unangemessenen Zeitrahmens“ verlangt habe, ohne Rückzahlungsadressen anzugeben.

Percoco von Kraken entgegnete jedoch, dass sie eine vollständige Offenlegung der Aktivitäten des damals noch unbekannten Unternehmens und die Rückzahlung der abgehobenen Gelder verlangt hätten. Percoco argumentierte, dass CertiKs Weigerung, diesen Forderungen nachzukommen, gegen die Regeln des ethischen Hackens verstoße und an Erpressung grenze.

Muss CertiK mit rechtlichen Konsequenzen rechnen?

Die Bekanntwerden dieses Vorfalls hat in der Kryptowährungs-Community Überraschung und Besorgnis ausgelöst und zu Forderungen nach rechtlichen Schritten gegen CertiK geführt.

Ein Benutzer beschuldigte CertiK, die 3 Millionen US-Dollar von Kraken gestohlen, ein Lösegeld für eine Belohnung gefordert, die Rückgabe des Geldes verweigert und das Geld nun an Tornado.cash überwiesen zu haben, um es vor einer möglichen Beschlagnahmung durch die Behörden zu schützen.

Conor Grogan, Direktor von Coinbase, wies darauf hin, dass Tornado.cash den Sanktionen des Office of Foreign Assets Control (OFAC) unterliegt, und betonte den US-Sitz von CertiK, was auf mögliche rechtliche Konsequenzen durch US-Behörden hindeutete.

Auch Marktexperte Adam Cochran äußerte sich erstaunt über das Vorgehen von CertiK und verwies auf die Vorgeschichte manipulierter Audits des Unternehmens. Cochran ging sogar noch weiter und beschrieb die Situation als „geradezu kriminell“.

Verwandte Lektüre

Die nächsten Schritte von Kraken und die möglichen Konsequenzen für CertiK bleiben abzuwarten. Über dem Sicherheitsunternehmen schwebt jedoch die Einschaltung von US-Behörden und mögliche rechtliche Schritte.

Die Entwicklungen in diesem Fall werden zweifellos die Zukunft von Bug-Bounty-Programmen prägen und sich auf die Beziehung zwischen Kryptowährungsbörsen und Sicherheitsfirmen auswirken.

Vorgestelltes Bild von Shutterstock, Diagramm von TradingView.com

Quelle: NewsBTC.com

Der Beitrag „CertiK muss mit Konsequenzen rechnen, nachdem es einen Raubüberfall auf Kraken im Wert von 3 Millionen Dollar gestand – was kommt als Nächstes?“ erschien zuerst auf Crypto Breaking News.