Bursa Kraken yang berbasis di AS kehilangan hampir $3 juta dalam perbendaharaannya setelah sebuah perusahaan keamanan yang tidak disebutkan namanya mengeksploitasi bug pada platformnya. Kepala petugas keamanan, Nick Percoco, mengungkapkan hal ini dalam sebuah postingan di X, menyatakan bahwa perusahaan keamanan telah menolak mengembalikan dana tersebut dan sekarang menuntut pembayaran yang lebih tinggi sebagai hadiah.

Baca Juga: Crypto Exchange DMM Bitcoin Bersumpah Untuk Membayar Pengguna Setelah Peretasan $300 Juta

Sebagai tanggapan, Kraken telah meneruskan masalah ini ke lembaga penegak hukum dan akan menganggapnya sebagai tindak pidana. Namun, pengguna tidak perlu khawatir, karena bursa mengklaim telah mengatasi kerentanan tersebut, dan tidak ada akun pengguna yang terkena dampak.

Bug Kraken memungkinkan pencetakan uang

Menurut Percoco, seorang peneliti keamanan memberi tahu Kraken tentang bug kritis melalui program Bug Bounty pada tanggal 9 Juni. Setelah penyelidikan internal, tim keamanan bursa menemukan kerentanan yang memungkinkan pelaku kejahatan melakukan deposit ke akun Kraken mereka dan menerima dana tanpa menyelesaikan deposit. Penyerang jahat dapat mencetak jutaan dolar melalui eksploitasi ini.

Dia menjelaskan:

“Kami menemukan bug yang terisolasi. Hal ini memungkinkan penyerang jahat, dalam situasi yang tepat, untuk melakukan deposit ke platform kami dan menerima dana di akun mereka tanpa menyelesaikan deposit sepenuhnya.”

Tim keamanan internal mengatasi masalah ini dalam waktu 47 menit dan memperbaikinya sepenuhnya setelah beberapa jam. Namun, perusahaan tersebut menemukan bahwa bug tersebut disebabkan oleh perubahan terbaru pada UX-nya yang memungkinkan akun klien dikreditkan sebelum aset mereka dibersihkan. Meskipun perubahan tersebut diintegrasikan untuk memungkinkan perdagangan instan, perubahan tersebut belum sepenuhnya diuji terhadap jenis risiko ini.

Namun, Percoco menambahkan bahwa insiden tersebut tidak berdampak pada aset pengguna, dan eksploitasi kerentanan hanya berdampak pada perbendaharaan Kraken.

Peneliti keamanan adalah penjahat

Sementara itu, analisis kerentanan menemukan bahwa tiga akun mengeksploitasi kelemahan tersebut, dan salah satu akun tersebut terdaftar atas nama peneliti keamanan yang pertama kali menghubungi bursa.

Baca Juga: Kraken Pertimbangkan Menghapus USDT sebagai Respons terhadap Peraturan Baru UE

Meskipun akun peneliti hanya menggunakan kelemahan tersebut untuk mengkredit dirinya sendiri sebesar $4, cukup untuk membuktikan bahwa bug tersebut nyata, dua akun lainnya menarik hampir $3 juta dari akun Kraken mereka menggunakan eksploitasi yang sama. Menariknya, akun-akun ini dikaitkan dengan rekan peneliti keamanan.

Kraken menjelaskan bahwa upayanya untuk mendapatkan kembali dana tersebut sia-sia karena para peneliti kini meminta pembayaran lebih tinggi yang mereka yakini sepadan dengan risiko bug tersebut.

Percoco menggambarkan hal ini sebagai tindakan pemerasan, yang bertentangan dengan prinsip di balik program Bug Bounty. Dia menambahkan bahwa pelanggaran aturan yang memberikan izin kepada peretas topi putih untuk melakukan peretasan menjadikan peneliti keamanan sebagai penjahat, dan bursa memperlakukan mereka seperti itu.