Perusahaan keamanan Blockchain CertiK mengonfirmasi bahwa mereka berada di balik eksploitasi bug yang mengakibatkan penarikan tidak sah token senilai $3 juta dari Kraken.

Perusahaan keamanan blockchain yang berkantor pusat di New York, CertiK, telah mengakui berada di balik eksploitasi bug yang mengakibatkan penarikan tidak sah token senilai $3 juta dari bursa kripto Kraken.

Dalam thread 19 Juni di X, CertiK mengungkapkan bahwa mereka telah mengidentifikasi serangkaian “kerentanan kritis” di bursa Kraken yang “berpotensi menyebabkan kerugian ratusan juta dolar.”

CertiK baru-baru ini mengidentifikasi serangkaian kerentanan kritis di bursa @krakenfx yang berpotensi menyebabkan kerugian ratusan juta dolar. Berawal dari temuan di sistem deposit @krakenfx yang mungkin gagal membedakan berbagai internal… pic.twitter.com/ JZkMXj2ZCD

— CertiK (@CertiK) 19 Juni 2024

Menurut CertiK, masalah ini pertama kali diidentifikasi pada tanggal 5 Juni, dan Kraken gagal dalam beberapa pengujian, yang menunjukkan bahwa sistem pertahanan mendalam bursa tersebut “dikompromikan di berbagai bidang.” Perusahaan tersebut secara khusus mencatat bahwa mereka berhasil melewati kontrol risiko penarikan bursa tanpa memicu peringatan apa pun.

“Sejumlah besar kripto palsu (bernilai lebih dari 1 juta+ USD) dapat ditarik dari akun dan diubah menjadi kripto yang valid. Yang lebih buruk lagi, tidak ada peringatan yang terpicu selama periode pengujian beberapa hari. Kraken hanya merespons dan mengunci akun pengujian beberapa hari setelah kami secara resmi melaporkan kejadian tersebut.”

Sertifikat

Anda mungkin juga menyukai: Kepala keamanan Kraken mengungkapkan perubahan UX mengakibatkan eksploitasi bug senilai $3 juta

Setelah menemukan kelemahannya, CertiK mengklaim telah memberi tahu Kraken, yang tim keamanannya mengklasifikasikan masalah tersebut sebagai “kritis.” Namun, setelah eksploitasi diidentifikasi dan diperbaiki, CertiK menuduh bahwa tim operasi keamanan Kraken “mengancam” masing-masing karyawan CertiK, menuntut pembayaran kembali “jumlah kripto yang tidak sesuai dalam waktu yang tidak wajar bahkan tanpa memberikan alamat pembayaran.”

CertiK mendesak Kraken untuk “menghentikan segala ancaman terhadap peretas whitehat,” menegaskan komitmennya terhadap komunitas web3 “dalam semangat transparansi.” Namun, insiden tersebut telah memicu kontroversi dan skeptisisme dalam komunitas blockchain karena para peneliti blockchain menyoroti perbedaan dalam timeline dan klaim CertiK.

HAHAHHA KAMU BODOH SIALANSama sekali TIDAK ada alam semesta di mana ini adalah "penelitian keamanan topi putih"Kraken sangat sabar karena tidak langsung menyebut ini dengan jelas: pencurian jutaan dolar dengan sisi pemerasan.

— Tay 💖 (@tayvano_) 19 Juni 2024

Seperti yang dicatat oleh chief technology officer Cyvers Meir Dolev di akun X-nya, alamat yang terkait dengan CertiK memulai aktivitas mencurigakan di beberapa jaringan blockchain beberapa minggu sebelum insiden Kraken pertama kali dilaporkan, sehingga menimbulkan pertanyaan tentang garis waktu yang disediakan oleh CertiK.

Menyusul Insiden @krakenfx, aktivitas serupa dimulai di pangkalan 26 hari yang lalu!! Hash tanda tangan yang sama juga digunakan di Polygon 14 hari yang lalu. Jadi haruskah kita percaya pada timeline Cetik bahwa mereka hanya menemukan kerentanan pada tanggal 5 Juni?@tayvano_ pic.twitter.com/cvAnVrTg67

— Meir Dolev (@Meir_Dv) 19 Juni 2024

Dalam posting lanjutan di bawah utas CertiK, direktur Coinbase Conor Grogan menunjukkan bahwa alamat yang terkait dengan CertiK mengirim sebagian dari kripto yang ditarik ke Tornado Cash, layanan pencampuran yang disetujui oleh Kantor Pengendalian Aset Luar Negeri (OFAC) Departemen Keuangan AS. karena memfasilitasi sekitar $7 miliar pencucian kripto sejak 2019.

Laporan juga menyatakan bahwa alamat terkait CertiK mengirimkan sebagian dari kripto yang ditarik ke ChangeNOW, pertukaran kripto non-penahanan. Hingga berita ini dimuat, CertiK belum membuat pernyataan publik tentang mengapa mereka berinteraksi dengan Tornado Cash dan ChangeNOW, meskipun mereka mengklaim telah mengembalikan semua token yang ditarik ke Kraken.

Baca selengkapnya: Telegram membantah klaim risiko keamanan pengunduhan otomatis CertiK