Kraken, un important schimb de criptomonede la nivel mondial, a abordat recent o provocare semnificativă de securitate. Platforma a fost alertată de un cercetător de securitate cu privire la o vulnerabilitate critică care ar fi putut permite crearea neautorizată de active digitale. Acest incident subliniază provocările continue cu care se confruntă platformele de active digitale în menținerea unor măsuri de securitate robuste.
După ce a primit informația, echipa de securitate a lui Kraken a investigat rapid chestiunea, distingând-o de alarmele false obișnuite. Bug-ul identificat a fost deosebit de grav – le-a permis utilizatorilor să înregistreze depozite și să primească credite corespunzătoare în conturile lor fără transferul efectiv de fonduri.
Acest defect, care provine dintr-o actualizare recentă a experienței utilizatorului, care a creditat prematur conturile de utilizator înainte de confirmarea depunerii, a reprezentat un risc ipotetic de „tipărire” a activelor digitale din aer.
Implicații și acțiuni întreprinse
Ancheta a relevat că doar trei conturi au exploatat bug-ul, inclusiv cel aparținând denunțătorului. În timp ce cercetătorul a demonstrat exploatarea creând o cantitate nominală de criptomonedă, ei nu au reușit să raporteze oficial acest lucru prin programul Kraken’s Bug Bounty.
În schimb, au dezvăluit metoda altor două părți care au exploatat apoi vulnerabilitatea pentru a extrage milioane de criptomonede, culminând cu retrageri neautorizate în valoare totală de aproximativ 3 milioane de dolari.
Nick Percoco, ofițerul șef de securitate al Kraken, a remarcat provocarea în gestionarea situației, având în vedere raportul inițial incomplet, care nu avea detalii cruciale ale tranzacției.
Actualizare de securitate Kraken: pe 9 iunie 2024, am primit o alertă de program Bug Bounty de la un cercetător de securitate. Nu au fost dezvăluite inițial detalii, dar e-mailul lor a susținut că a găsit o eroare „extrem de critică” care le-a permis să-și umfle în mod artificial soldul pe platforma noastră.
— Nick Percoco (@c7five) 19 iunie 2024
Dialogul cu cercetătorii a încetat, deoarece aceștia au cerut o răscumpărare în loc să returneze fondurile, propunând o plată bazată pe potențialele daune financiare pe care le-ar fi putut provoca bug-ul.
Kraken, etichetând aceste cereri drept extorcare, a refuzat să numească public firma de securitate implicată și urmărește acțiuni legale, tratând problema ca pe un caz penal. Compania a asigurat utilizatorii că niciun bun client nu a fost compromis în niciun moment.