In diesem Artikel erzählen wir von einer unglaublichen Geschichte: Vor wenigen Tagen stellte das Wirtschaftsprüfungsunternehmen Certik eine Schwachstelle in den Sicherheitssystemen der Kryptobörse Kraken fest, die zu einem schwerwiegenden Hackerangriff führen könnte.
Nachdem Certik drei Tage lang einige Tests durchgeführt und einen „White Hack“-Angriff im Wert von 3 Millionen Dollar ausgeführt hatte, nahm das Unternehmen Kontakt zu Kraken auf, um es über den Fehler zu informieren, weigerte sich jedoch zunächst, den gestohlenen Betrag sofort zurückzugeben.
Die Kryptobörse kontaktierte sofort die Strafverfolgungsbehörden und behandelte die Situation als Kriminalfall, während das Kryptosicherheitsunternehmen darauf beharrte, dass es sich um einen typischen Test eines „Kopfgeldprogramms“ handele. Nun scheinen die Gelder zurückgegeben worden zu sein.
Sehen wir uns unten alles im Detail an.
Der 3-Millionen-Dollar-Hack gegen die Krypto-Börse Kraken: Certik ist verantwortlich, weigert sich aber, das Geld zurückzugeben
Diese Geschichte beginnt am 9. Juni 2024, als die Kryptobörse Kraken eine informelle Nachricht von einem „Sicherheitsforscher“ erhält, der behauptet, eine Schwachstelle auf der Plattform entdeckt zu haben, die einen groß angelegten Hack hätte verursachen können.
Wie Nick Percoco, Chief Security Officer von Kraken, in einem Post-Mortem-Tweet berichtete, hatte der Forscher einen Fehler in den Sicherheitssystemen der Einlagen (die nicht zwischen verschiedenen Zuständen interner Überweisungen unterscheiden können) aufgezeigt, der es Benutzern ermöglicht, ihr Guthaben aufzublähen und mehr Münzen abzuheben, als sie tatsächlich zur Verfügung haben. Die Börse ergriff sofort Maßnahmen, um das Problem zu beheben, und in nur 47 Minuten gelang es einem Expertenteam, den Fehler zu beheben.
Folgendes hat Percoco berichtet:
„Der Fehler ermöglichte es einem böswilligen Angreifer unter den richtigen Umständen, eine Einzahlung auf unserer Plattform zu veranlassen und Geld auf sein Konto zu erhalten, ohne die Einzahlung vollständig abzuschließen. Um es klarzustellen: Es waren nie Kundenvermögen gefährdet.“
Kraken-Sicherheitsupdate:
Am 9. Juni 2024 erhielten wir von einem Sicherheitsforscher eine Warnung im Rahmen des Bug-Bounty-Programms. Zunächst wurden keine Einzelheiten bekannt gegeben, aber in der E-Mail hieß es, man habe einen „extrem kritischen“ Fehler gefunden, der es ihnen ermöglichte, ihr Guthaben auf unserer Plattform künstlich aufzublähen.
– Nick Percoco (@c7five), 19. Juni 2024
Bisher ist alles normal, außer dass dasselbe Sicherheitsunternehmen web3, bei dem der Forscher arbeitet, der Kraken kontaktiert hat, vor der offiziellen Meldung des Fehlers mehrere Hacks auf der Plattform im Gesamtwert von 3 Millionen Dollar durchgeführt haben soll.
Unmittelbar nach der Veröffentlichung von Percocos Beitrag übernahm die renommierte Wirtschaftsprüfungsgesellschaft Certik sofort die Verantwortung für den Vorfall und gab ihre entscheidende Rolle in der Angelegenheit bekannt.
Certik hat angeblich die Abwehrmechanismen von Kraken „getestet“, indem er einen groß angelegten Angriff durchführte und große Mengen an MATIC-Token von drei verschiedenen Konten abzog und dann die Spuren der Gelder über den Tornado Cash-Mixer bereinigte.
Wie der Sicherheitsmanager der Börse erklärte, forderte Kraken Certik nach Behebung des Problems auf, die Gelder zurückzugeben, was sie jedoch zunächst ablehnte.
Trotzdem besteht Certik darauf, dass seine Tätigkeit den Grundsätzen des „White Hack“ entspricht.
Anscheinend erwähnte Certik die Rolle der drei Kontoausbeuter bei dem Vorfall nicht, obwohl er in den drei Tagen vor der Kommunikation mit Kraken die Auszahlungstests durchgeführt hatte.
Der Sicherheitsforscher, der den Fehler entdeckt hatte, hätte eine beträchtliche Belohnung für die Entdeckung einer schwerwiegenden Schwachstelle verlangt, die zu einem schweren Hack hätte führen können, doch Kraken bestand darauf, sein Geld zurückzubekommen.
Da sich das Wirtschaftsprüfungsunternehmen weigerte, die Beute herauszugeben und tatsächlich versucht zu haben, die Beweise für den Hackerangriff zu vernichten, beschloss die Börse, den Fall wie ein Strafverfahren zu behandeln und die zuständigen Behörden und Strafverfolgungsbehörden zu benachrichtigen.
Das Sicherheitsunternehmen web3 hatte von der Börse eine Belohnung in Höhe des Betrags verlangt, den dieser Fehler vermutlich verursacht hätte, wenn er nicht bekannt geworden wäre, was das Team der Börsenplattform wütend machte.
Percoco kommentierte den Vorfall auf seinem X-Profil und brachte dabei seine ganze Opposition gegenüber Certiks Verhalten zum Ausdruck:
„Das ist kein Whitehacking, das ist Erpressung.“
Wir werden dieses Forschungsunternehmen nicht offenlegen, da es für seine Handlungen keine Anerkennung verdient. Wir behandeln dies als Strafsache und stimmen uns entsprechend mit den Strafverfolgungsbehörden ab. Wir sind dankbar, dass dieses Problem gemeldet wurde, aber damit endet dieser Gedanke.
– Nick Percoco (@c7five), 19. Juni 2024
Das Dementi von Certik: Gelder wurden zurückgegeben, obwohl einige Mitarbeiter Drohungen vom Kraken-Team erhalten hatten
Certik stellte sich als das Unternehmen vor, das für die Identifizierung der Schwachstelle im Einzahlungssystem verantwortlich war, dementierte die Meldung von Kraken jedoch umgehend und betonte dessen Rolle als „White Hack“ sowie seine positiven Absichten.
Das Unternehmen gab bekannt, dass es einen groß angelegten Hackerangriff im Wert von 3 Millionen Dollar ausschließlich zu dem Zweck durchgeführt habe, die Abwehr der Börse zu testen. Es betonte jedoch auch, dass es sich nie geweigert habe, die Beute zurückzugeben, sondern lediglich sicherstellen wollte, dass alles korrekt ausgeführt wurde.
Certik sagte, sie sei erstaunt über die möglichen negativen Auswirkungen, die der Fehler hätte haben können, aber vor allem über die Tatsache, dass Krakens Alarme nie ausgelöst wurden. In einem Beitrag hieß es dazu:
„Millionen von Dollar können auf JEDES Kraken-Konto eingezahlt werden. Eine riesige Menge an Kryptowährungen (im Wert von über 1 Mio. USD) kann vom Konto abgehoben und in gültige Kryptowährungen umgewandelt werden. Schlimmer noch, während des mehrtägigen Testzeitraums wurden keine Warnungen ausgelöst.“
Darüber hinaus erläuterte die Wirtschaftsprüfungsgesellschaft, dass ein Mitglied des Exchange-Teams dem eigenen Forscher gedroht hatte, den Betrag innerhalb einer unangemessenen Frist (6 Stunden) zurückzuerstatten, ohne jedoch eine Rückzahlungsadresse anzugeben.
Dies geschah, nachdem die beiden Unternehmen einige Tage nach dem Hackerangriff miteinander telefoniert hatten, um eine Lösung zu finden und die Angelegenheit zu klären.
CertiK hat kürzlich eine Reihe kritischer Schwachstellen in der Börse @krakenfx identifiziert, die möglicherweise zu Verlusten in Höhe von Hunderten Millionen Dollar führen könnten.
Ausgehend von einer Feststellung im Einzahlungssystem von @krakenfx, wo möglicherweise nicht zwischen verschiedenen internen… unterschieden wird. pic.twitter.com/JZkMXj2ZCD
– CertiK (@CertiK), 19. Juni 2024
Auslöser des Chaos war offenbar die Höhe der von Kraken vorgeschlagenen Kopfgeldprämie, die als in keinem Verhältnis zum unternommenen Aufwand und dem verhinderten potenziellen Exploit stand. Ein Sprecher von Kraken berichtete Coindesk:
„Wir haben diese Forscher in gutem Glauben einbezogen und im Einklang mit einem Jahrzehnt der Leitung eines Bug-Bounty-Programms eine beträchtliche Belohnung für ihre Bemühungen ausgesetzt. Wir sind von dieser Erfahrung enttäuscht und arbeiten nun mit den Strafverfolgungsbehörden zusammen, um die Vermögenswerte dieser Sicherheitsforscher zurückzuerhalten.“
Heute hat Certik einen weiteren Beitrag mit einigen häufig gestellten Fragen veröffentlicht, um seine Position weiter zu verdeutlichen und etwaige Zweifel auszuräumen.
Das Sicherheitsunternehmen bekräftigt, dass es „konsequent“ bestätigt habe, den gestohlenen Betrag zurückzugeben, und gibt an, dass sich nun alle Gelder wieder in den Händen von Kraken befänden.
Diese Gelder wurden in 734,19215 ETH, 29.001 USDT und 1021,1 XMR an den Absender zurückgesendet, während die Börse ausdrücklich darum gebeten hatte, 155818,4468 MATIC, 907400,1803 USDT, 475,5557871 ETH und 1089,794737 XMR zu senden, was einem Gesamtgegenwert von etwa 100.000 Dollar mehr entspricht.
Fragen und Antworten zu den jüngsten Whitehat-Operationen von CertiK-Kraken:
1. Hat ein echter Benutzer Geld verloren?
Nein. Kryptowährungen wurden aus dem Nichts geschaffen und unsere Forschungsaktivitäten waren nicht direkt mit den Vermögenswerten echter Kraken-Benutzer verbunden.
2. Haben wir die Rückzahlung verweigert?
Nein. In unserer Kommunikation mit…
– CertiK (@CertiK), 20. Juni 2024
Kraken bleibt seinem ethischen Konzept des „White Hacking“ treu und ist der Ansicht, dass das von Certik ausgeübte Mobbing als Erpressung einzustufen sei.
Das Bounty-Programm der Börse verlangt tatsächlich von Dritten, das Problem zu finden, den zum Testen des Fehlers erforderlichen Mindestbetrag aufzuwenden (ohne einen 3-Millionen-Dollar-Hack auszuführen), die Ressourcen zurückzugeben und Einzelheiten zur Sicherheitslücke bereitzustellen.
