Kraken, CertiK'in aşırı olduğunu savunuyor ancak siber güvenlik firması, sorunun boyutunu tespit etmek için büyük ölçekli para çekme işlemlerinin gerekli olduğu konusunda ısrar ediyor.
Geçen hafta Kraken, kritik bir hatanın güvenlik araştırmacılarının bakiyelerini yapay olarak şişirmelerine ve neredeyse 3 milyon dolar çekmelerine olanak sağladığını duyurdu.
Kraken Güvenlik Güncellemesi: 9 Haziran 2024'te bir güvenlik araştırmacısından bir Bug Bounty programı uyarısı aldık. Başlangıçta hiçbir ayrıntı açıklanmadı, ancak e-postaları, platformumuzdaki bakiyelerini yapay olarak şişirmelerine olanak tanıyan "son derece kritik" bir hata bulduğunu iddia etti.
- Nick Percoco (@c7five) 19 Haziran 2024
Ancak tüm olayda inanılmaz derecede sıra dışı bir şey vardı ve bu olay, kripto borsası ile büyük bir siber güvenlik firması arasında bir söz savaşının alevlenmesine neden oldu.
Kraken'in baş güvenlik görevlisi Nick Percoco, kötü niyetli kişilerin bir hesapta para basmasına izin veren bir kusur bulunduğunu açıklayarak işleri başlattı.
Sorunu hafifletmek 47 dakika, tamamen düzeltmek ise birkaç saat sürmüştü. Buraya kadar her şey oldukça normal ve rutin görünüyor.
Ancak Percoco, olaya karışan güvenlik araştırmacısının iki meslektaşına konuyu anlattığını ve onların milyonlarca dolarlık şirket fonunu almalarına olanak sağladığını iddia ederek işleri daha da kızıştırdı.
Kraken'in istismarın nasıl gerçekleştirildiğine ilişkin ayrıntıları istediğini ve fonların tamamının iade edilmesini ayarlamaya çalıştığını ancak takasın reddedildiğini iddia ettiğini söyledi.
"Bunun yerine, iş geliştirme ekipleriyle (yani satış temsilcileriyle) bir görüşme talep ettiler ve biz bu hatanın, eğer onlar bunu açıklamasaydı neden olabileceği tahmin edilen $ tutarını sağlayana kadar herhangi bir parayı iade etmeyi kabul etmediler. Bu beyaz şapkalı bilgisayar korsanlığı değil, gasptır!”
Nick Percoco
Percoco, araştırmacıların ihtiyaç duyduklarından çok daha fazlasını çıkardıkları, kavram kanıtını sağlayamadıkları ve parayı hemen iade etmedikleri için böcek ödül programının ruhuna uygun şekilde çalışmadıklarını iddia etti.
Peki burada neler oluyordu? Bu, karanlık tarafa doğru yol alan beyaz şapkalı bir hacker mıydı? Biri Kraken'i fidye için mi tutuyor? Cezai bir konu mu?
Şunlar da hoşunuza gidebilir: Listelenmeden önce madeni paralar nasıl satın alınır?
CertiK öne çıkıyor
Hikayenin alışılmadık bir hal aldığı yer burası. Bu istismarın, yatak odalarının bir yerinde kilitli duran zeki bir genç tarafından planlandığını varsaymış olabilirsiniz. Aslında bu, Web3 alanındaki en büyük denetçilerden biri olan CertiK tarafından gerçekleştirildi.
Percoco'nun X hakkındaki konuşmasından sadece üç saat sonra şirket, kendi olay versiyonunu öne sürdü.
CertiK yakın zamanda @krakenfx borsasında potansiyel olarak yüz milyonlarca dolar kayba yol açabilecek bir dizi kritik güvenlik açığı tespit etti. @krakenfx'in mevduat sisteminde farklı dahili borsalar arasında ayrım yapamayabileceği bir bulgudan yola çıkarak… pic.twitter.com/ JZkMXj2ZCD
- CertiK (@CertiK) Haziran 19, 2024
Günlerce süren testlerin Kraken'in iç sistemlerinde herhangi bir kırmızı bayrak ortaya çıkarmada başarısız olduğunu söyledi; bu da borsanın güvenlik ekibinin ancak kusur hakkında bilgilendirildikten sonra müdahale ettiği anlamına geliyor.
“Güvenlik açığının belirlenmesi ve düzeltilmesine yönelik ilk başarılı dönüşümlerin ardından, Kraken'in güvenlik operasyon ekibi, bireysel CertiK çalışanlarını, geri ödeme adresleri sağlamadan bile YANLIŞ EŞLEŞMEMİŞ bir miktardaki kripto parayı MAKUL OLMAYAN bir sürede geri ödemeleri konusunda TEHDİT etti.”
Sertifika
CertiK, Kraken'i "beyaz şapkalı bilgisayar korsanlarına yönelik her türlü tehdidi durdurmaya" çağırmaya devam etti.
Bir gün sonra, araştırmasıyla ilgili soruları yanıtlayan bir başlık açıldı.
Son CertiK-Kraken beyaz şapka operasyonları hakkında Soru-Cevap: 1. Herhangi bir gerçek kullanıcı fon kaybetti mi？Hayır. Kripto paralar yayından kaldırıldı ve hiçbir gerçek Kraken kullanıcısının varlığı doğrudan araştırma faaliyetlerimize dahil edilmedi.2. Parayı iade etmeyi reddettik mi? Hayır. İletişimimizde…
- CertiK (@CertiK) Haziran 20, 2024
Hiçbir Kraken müşterisinin para kaybetmediğini vurgulayan CertiK, şirkete paranın iade edileceğine dair "sürekli güvence verdiğini" ve öyle olduğunu da vurguladı. Tek anlaşmazlık noktası mı? Borsanın gerçekte ne kadar borçlu olduğu konusunda anlaşmazlık.
Şirket, kusurdan neden bu kadar büyük ölçekte yararlanmayı seçtiğini açıklarken şunları ekledi:
“Kraken'in koruma ve risk kontrollerinin sınırlarını test etmek istiyoruz. Birkaç gün süren çok sayıda testten ve üç milyona yakın değerde kripto paradan sonra hiçbir uyarı tetiklenmedi ve hâlâ limiti çözemedik.”
Sertifika
Satır aralarını okuyunca, CertiK'in Kraken'den, gerçek bir dolandırıcının devam etmesi durumunda ne kadar çok şey elde edebileceği konusunda yanıtlar istediği anlaşılıyor.
Siber güvenlik firması, hata ödülünün öncelikler listesinin çok aşağılarında yer aldığını ve testleriyle ilgili tüm işlemlerin kamuya açık hale geldiğini öne sürdü.
Yüce bir kelime savaşı
X konusunda kimin haklı kimin haksız olduğu konusunda epey bir anlaşmazlık var.
Asıl soru, güvenin en önemli unsur olduğu bir görevde testinizin bir parçası olarak neden müstehcen bir miktardan yararlandığınız olmalıdır. L'yi alın ve yasal tavsiye olmadan tweet atmayı bırakın.
- Bkz. $LSS BULL (@crypto_seeb) 19 Haziran 2024
Potansiyel bir iflas saldırısının büyüklüğüyle karşılaştırıldığında 3 milyon dolar yer fıstığıdır. Kraken'in Double L'si, tanrıya şükretmek yerine bunu kamuya açık bir sorun haline getirdi ve anons bunu istismar etmedi.
- everhusk (@everhusk) Haziran 19, 2024
CertiK'in argümanı şuna dayanıyor: Bunlardan herhangi birinin Kraken'in iç sistemleri tarafından işaretlenip işaretlenmeyeceğini test etmek için astronomik derecede büyük para çekme işlemleri yapması gerekiyordu.
Artık yüzeysel olarak çözülmüş gibi görünen tartışma, kripto alanındaki işletmeler ile onları kontrol altında tutmakla görevli siber güvenlik araştırmacıları arasındaki gerilimin bir kısmını ortaya koyuyor.
Angajman kuralları konusunda daha büyük bir anlaşmaya varılması gerekiyor mu? Daha sonraki bir tarihte daha vahim bir olayın yaşanmasını önleyebileceği için beyaz şapkalı bilgisayar korsanlarının büyük ölçekli istismarlarının haklı olduğu durumlar var mı?
Eğer bu, 625 milyon doların çalınmasına yol açan tüm zamanların en büyük kripto soygunlarından birinin önlenmesine yardımcı olan Ronin Ağı'nın başına gelseydi, muhtemelen birkaç milyon dolarlık geçici hırsızlığın garanti altına alınacağını iddia ederdiniz.
Nasıl bakarsanız bakın, bu olay, büyük borsalarda henüz ortaya çıkarılmamış hatalar olabileceğinin ve fonlarını depolamak için bu ticaret platformlarını kullanan sıradan yatırımcılar için risk teşkil edebileceğinin acı verici bir hatırlatıcısıdır.
Şunlar da hoşunuza gidebilir: Kripto endüstrisi Trump'a güvenebilir mi?