Kraken Reveals Bug Allowed Rogue ‘security Researchers’ to Exploit $3M

Cryptopolitan · 2024-06-19T16:33:04.000Z

US-based exchange Kraken lost almost $3 million in its treasury after an unnamed security company exploited a bug on its platform. The chief security officer, Nick Percoco, disclosed this in a post on X, stating that the security firm has refused to return the funds and is now demanding a higher payout as a bounty. Also Read: Crypto Exchange DMM Bitcoin Vows To Repay Users After $300M Hack In response, Kraken has escalated the matter to law enforcement agencies and will treat it as criminal. However, users do not have to worry, as the exchange claims it has already resolved the vulnerability, and no user account has been impacted. Kraken bug allows money printing According to Percoco, a security researcher alerted Kraken about a critical bug via its Bug Bounty program on June 9. Upon internal investigations, the exchange security team discovered a vulnerability that could allow a bad actor to initiate a deposit into their Kraken account and receive the funds without completing the deposit. A malicious attacker could print millions out of thin air through this exploit. He explained: “We discovered an isolated bug. This allowed a malicious attacker, under the right circumstances, to initiate a deposit onto our platform and receive funds in their account without fully completing the deposit.” The internal security team mitigated the issue within 47 minutes and fixed it completely after a few hours. However, the firm discovered that the bug resulted from a recent change in its UX that allowed client accounts to be credited before their assets cleared. Although the change was integrated to enable instant trading, it was not fully tested against this type of risk. However, Percoco added that the incident did not affect users’ assets, and the exploits of the vulnerability only affected the Kraken treasury. The security researchers are criminals Meanwhile, an analysis of the vulnerability found that three accounts exploited the flaw, and one of those accounts was registered under the name of the security researcher who initially contacted the exchange. Also Read: Kraken Considers Delisting USDT in Response to New EU Regulations While the researcher’s account only used the flaw to credit themselves $4, enough to prove the bug was real, the two other accounts withdrew almost $3 million from their Kraken accounts using the same exploit. Interestingly, these accounts were associated with associates of the security researcher. Kraken explained that its attempts to get the funds returned have been futile as the researchers are now asking for a higher payment that they believe is commensurate with the risk of the bug. Percoco described this as an act of extortion, which contradicts the principle behind the Bug Bounty program. He added that violating those rules that give white hat hackers the license to hack makes the security researchers criminals, and the exchange is treating them as such.

L'exchange statunitense Kraken ha perso quasi 3 milioni di dollari nelle sue casse dopo che una società di sicurezza anonima ha sfruttato un bug sulla sua piattaforma. Lo ha rivelato il responsabile della sicurezza, Nick Percoco, in un post su X, affermando che la società di sicurezza si è rifiutata di restituire i fondi e ora chiede un compenso più alto come taglia.
Leggi anche: Crypto Exchange DMM Bitcoin promette di ripagare gli utenti dopo un hack da 300 milioni di dollari
In risposta, Kraken ha inoltrato la questione alle forze dell'ordine e la tratterà come un crimine. Tuttavia, gli utenti non devono preoccuparsi, poiché l’exchange afferma di aver già risolto la vulnerabilità e che nessun account utente è stato interessato.
Il bug Kraken consente la stampa di denaro
Secondo Percoco, il 9 giugno un ricercatore di sicurezza ha avvisato Kraken di un bug critico tramite il suo programma Bug Bounty. Dopo indagini interne, il team di sicurezza dell'exchange ha scoperto una vulnerabilità che potrebbe consentire a un malintenzionato di avviare un deposito sul proprio conto Kraken e ricevere il fondi senza completare il deposito. Un utente malintenzionato potrebbe stampare milioni dal nulla attraverso questo exploit.
Lui ha spiegato:
“Abbiamo scoperto un bug isolato. Ciò ha consentito a un utente malintenzionato, nelle giuste circostanze, di avviare un deposito sulla nostra piattaforma e ricevere fondi sul proprio conto senza completare completamente il deposito."
Il team di sicurezza interno ha mitigato il problema entro 47 minuti e lo ha risolto completamente dopo poche ore. Tuttavia, l'azienda ha scoperto che il bug era il risultato di un recente cambiamento nella sua UX che consentiva l'accredito sui conti dei clienti prima che i loro beni venissero liquidati. Sebbene la modifica sia stata integrata per consentire il trading istantaneo, non è stata completamente testata contro questo tipo di rischio.
Tuttavia, Percoco ha aggiunto che l’incidente non ha influenzato le risorse degli utenti e che gli exploit della vulnerabilità hanno interessato solo la tesoreria Kraken.
I ricercatori di sicurezza sono criminali
Nel frattempo, un'analisi della vulnerabilità ha rilevato che tre account sfruttavano la falla e uno di questi account era registrato con il nome del ricercatore di sicurezza che inizialmente aveva contattato l'exchange.
Leggi anche: Kraken considera la rimozione dell'USDT dalla quotazione in risposta ai nuovi regolamenti UE
Mentre l’account del ricercatore ha utilizzato la falla solo per accreditarsi 4 dollari, sufficienti a dimostrare che il bug era reale, gli altri due account hanno prelevato quasi 3 milioni di dollari dai loro account Kraken utilizzando lo stesso exploit. È interessante notare che questi account erano associati a soci del ricercatore di sicurezza.
Kraken ha spiegato che i suoi tentativi di ottenere la restituzione dei fondi sono stati inutili poiché i ricercatori stanno ora chiedendo un pagamento più elevato che ritengono commisurato al rischio del bug.
Percoco lo ha descritto come un atto di estorsione, che contraddice il principio alla base del programma Bug Bounty. Ha aggiunto che la violazione di quelle regole che danno agli hacker white hat la licenza per hackerare rende i ricercatori di sicurezza criminali, e l'exchange li tratta come tali.

Kraken rivela che un bug ha consentito a "ricercatori di sicurezza" disonesti di sfruttare 3 milioni di dollari

Scopri di più dal Creator

Ultime notizie