Bug Bounty Gone Wrong: Kraken Accuses CertiK of Extortion, CertiK Defends Its Actions

Blockonomi · 2024-06-20T08:08:57.000Z

TLDR Kraken discovered a bug that allowed users to artificially inflate their balances and withdraw funds without completing deposits. CertiK, a blockchain security firm, identified itself as the “security researcher” that exploited the bug and withdrew nearly $3 million from Kraken’s treasuries. Kraken claims CertiK refused to return the funds until the exchange provided an estimate of the potential losses, calling it “extortion.” CertiK defended its actions, stating that it was testing the scope of the vulnerability and that Kraken had threatened its employees to return a mismatched amount of funds within an unreasonable timeframe. The incident has sparked a debate on the ethics of white hat hacking and bug bounty programs in the cryptocurrency industry. Cryptocurrency exchange Kraken recently revealed that it had fallen victim to a security vulnerability that allowed users to artificially inflate their account balances and withdraw funds without fully completing deposits. The exchange reported that nearly $3 million was stolen from its treasuries as a result of the exploit. Blockchain security firm CertiK came forward, identifying itself as the “security researcher” responsible for exploiting the bug and withdrawing the funds. Kraken’s Chief Security Officer, Nick Percoco, had earlier accused the then-unnamed security team of “extortion” for refusing to return the funds until the exchange provided an estimate of the potential losses if the bug had remained undisclosed. Kraken Security Update: On June 9 2024, we received a Bug Bounty program alert from a security researcher. No specifics were initially disclosed, but their email claimed to find an “extremely critical” bug that allowed them to artificially inflate their balance on our platform. — Nick Percoco (@c7five) June 19, 2024 CertiK, however, defended its actions, claiming that it had been testing the scope of the vulnerability and that Kraken had threatened its employees to return a mismatched amount of funds within an unreasonable timeframe, without even providing a repayment address. CertiK recently identified a series of critical vulnerabilities in @krakenfx exchange which could potentially lead to hundreds of millions of dollars in losses. Starting from a finding in @krakenfx's deposit system where it may fail to differentiate between different internal… pic.twitter.com/JZkMXj2ZCD — CertiK (@CertiK) June 19, 2024 The security firm provided a timeline of events, detailing its interactions with Kraken and the discovery of the exploit. According to CertiK, the vulnerability allowed millions of dollars to be deposited into any Kraken account, with the ability to withdraw and convert the fabricated crypto into valid cryptocurrencies. The firm also claimed that no alerts were triggered during its multi-day testing period, and Kraken only responded and locked the test accounts days after the initial disclosure. The incident has sparked a debate about the ethics of white hat hacking and the effectiveness of bug bounty programs. While some argue that CertiK’s actions were justified in the interest of thoroughly testing the vulnerability, others believe that the firm crossed a line by withdrawing such a large sum of money and refusing to return it promptly. Kraken maintains that CertiK’s actions do not align with the principles of white hat hacking and that it is working with law enforcement agencies to retrieve the assets. The exchange also emphasized that no user funds were affected by the exploit, as the stolen money came from Kraken’s own treasuries. The post Bug Bounty Gone Wrong: Kraken Accuses CertiK of Extortion, CertiK Defends Its Actions appeared first on Blockonomi.

TLDR
Kraken ha scoperto un bug che consentiva agli utenti di gonfiare artificialmente i propri saldi e prelevare fondi senza completare i depositi.
CertiK, una società di sicurezza blockchain, si è identificata come il "ricercatore di sicurezza" che ha sfruttato il bug e ha ritirato quasi 3 milioni di dollari dalle casse di Kraken.
Kraken sostiene che CertiK si è rifiutata di restituire i fondi finché l'exchange non ha fornito una stima delle potenziali perdite, definendola "estorsione".
CertiK ha difeso le proprie azioni, affermando che stava testando la portata della vulnerabilità e che Kraken aveva minacciato i suoi dipendenti di restituire una quantità di fondi non corrispondente entro un periodo di tempo irragionevole.
L'incidente ha scatenato un dibattito sull'etica dell'hacking white hat e dei programmi bug bounty nel settore delle criptovalute.
L'exchange di criptovalute Kraken ha recentemente rivelato di essere caduto vittima di una vulnerabilità di sicurezza che consentiva agli utenti di gonfiare artificialmente i saldi dei propri conti e prelevare fondi senza completare completamente i depositi. L'exchange ha riferito che quasi 3 milioni di dollari sono stati rubati dalle sue casse a seguito dell'exploit.
La società di sicurezza blockchain CertiK si è fatta avanti, identificandosi come il “ricercatore di sicurezza” responsabile dello sfruttamento del bug e del ritiro dei fondi.
Il responsabile della sicurezza di Kraken, Nick Percoco, aveva precedentemente accusato l’allora anonimo team di sicurezza di “estorsione” per essersi rifiutato di restituire i fondi fino a quando l’exchange non avesse fornito una stima delle potenziali perdite se il bug fosse rimasto segreto.
Aggiornamento sulla sicurezza Kraken:
Il 9 giugno 2024 abbiamo ricevuto un avviso relativo al programma Bug Bounty da un ricercatore di sicurezza. Inizialmente non sono stati divulgati dettagli, ma la loro email affermava di aver trovato un bug "estremamente critico" che permetteva loro di gonfiare artificialmente il loro saldo sulla nostra piattaforma.
— Nick Percoco (@c7five) 19 giugno 2024
CertiK, tuttavia, ha difeso le proprie azioni, sostenendo che stava testando la portata della vulnerabilità e che Kraken aveva minacciato i suoi dipendenti di restituire una quantità non corrispondente di fondi entro un lasso di tempo irragionevole, senza nemmeno fornire un indirizzo per il rimborso.
CertiK ha recentemente identificato una serie di vulnerabilità critiche nell’exchange @krakenfx che potrebbero potenzialmente portare a perdite per centinaia di milioni di dollari.
A partire da una scoperta nel sistema di deposito di @krakenfx in cui potrebbe non riuscire a distinguere tra diversi interni... pic.twitter.com/JZkMXj2ZCD
— CertiK (@CertiK) 19 giugno 2024
L'azienda di sicurezza ha fornito una cronologia degli eventi, descrivendo in dettaglio le sue interazioni con Kraken e la scoperta dell'exploit.
Secondo CertiK, la vulnerabilità ha permesso di depositare milioni di dollari su qualsiasi conto Kraken, con la possibilità di prelevare e convertire la criptovaluta fabbricata in criptovalute valide.
L'azienda ha inoltre affermato che non è stato attivato alcun avviso durante il periodo di test di più giorni e Kraken ha risposto e bloccato gli account di prova solo giorni dopo la divulgazione iniziale.
L'incidente ha acceso un dibattito sull'etica dell'hacking white hat e sull'efficacia dei programmi di bug bounty.
Mentre alcuni sostengono che le azioni di CertiK fossero giustificate nell’interesse di testare a fondo la vulnerabilità, altri ritengono che l’azienda abbia oltrepassato il limite ritirando una somma di denaro così ingente e rifiutandosi di restituirla tempestivamente.
Kraken sostiene che le azioni di CertiK non sono in linea con i principi dell’hacking white hat e che sta collaborando con le forze dell’ordine per recuperare i beni. L’exchange ha inoltre sottolineato che nessun fondo degli utenti è stato interessato dall’exploit, poiché il denaro rubato proveniva dalle casse di Kraken.
Il post Bug Bounty Gone Wrong: Kraken accusa CertiK di estorsione, CertiK difende le sue azioni è apparso per la prima volta su Blockonomi.

Bug Bounty andato storto: Kraken accusa CertiK di estorsione, CertiK difende le sue azioni

Scopri di più dal Creator

Ultime notizie