La publicación Kraken de Crypto Exchange pierde $ 3 millones debido a una falla de seguridad explotada apareció por primera vez en Coinpedia Fintech News
Kraken, la plataforma de comercio de cifrado líder en el mundo, admitió recientemente que fue víctima de un ataque que aprovechó con éxito una vulnerabilidad de día cero para robar criptomonedas por valor de millones.
La hazaña revelada
Kraken recibió un correo electrónico de su investigador de Bug Bounty el 9 de junio de 2024, que le alertaba sobre una grave vulnerabilidad en la red. La falla permitió a un atacante manipular las cifras del balance en el sitio a un nivel que no estaba respaldado por fondos reales, como explicó el director de seguridad de Kraken, Nick Percoco.
Esta vulnerabilidad crítica permitió al atacante realizar depósitos y retirar dinero de su cuenta mientras aún no completaba el proceso de depósito.
Respuesta rápida pero no lo suficientemente rápida
Kraken pudo responder a la alerta y eliminar el problema de seguridad en 47 minutos. El problema se debió a una nueva interfaz de usuario introducida hace algún tiempo que permitía a los clientes realizar depósitos y utilizar el dinero antes de que la cámara de compensación identificara los depósitos, si es que alguna vez lo hacían.
Si bien Kraken afirmó que no se perdió el efectivo de ningún cliente durante la infiltración, el error hizo posible que personas con malas intenciones depositaran y retiraran efectivo falso.
En este caso, tres cuentas comenzaron a intentar el mismo movimiento en una semana y todas intentaron transferir $3 millones fuera del intercambio. De ellas, una cuenta era propiedad del investigador de seguridad que recientemente informó sobre este error.
En cuanto a la primera vulnerabilidad identificada, Percoco comentó que una persona que pretendía explotarla invirtió $4 en criptomonedas para ilustrar el problema y podría ser suficiente para un informe de recompensa por errores y una recompensa posterior. Sin embargo, el investigador decidió dar detalles del error a otros dos participantes, quienes en conjunto pudieron robar casi $3 millones de dólares de las tesorerías de Kraken.
¿Dilema ético o extorsión?
Cuando Kraken se acercó a las personas para devolver los fondos robados y proporcionarles un exploit de prueba de concepto (PoC), los investigadores exigieron un pago a cambio de la devolución de los activos. Percoco condenó este comportamiento como extorsión y enfatizó que violaba los principios éticos del hacking de sombrero blanco.
Kraken está tratando el incidente como un caso penal y está coordinando con las fuerzas del orden.
Lea también: IMPACTANTE: ¡Aumentan las estafas criptográficas de “carnicería de cerdos”! Lo que deberías saber
