Керівник служби безпеки провідної криптовалютної біржі Kraken Нік Перкоко повідомив, що нерозкрита хакерська група відмовилася повернути цифрові активи вартістю приблизно 3 мільйони доларів, які вони вкрали зі скарбниці платформи, скориставшись помилкою в системі.
У серії дописів X Percoco сказав, що дослідники безпеки вимагають від криптобіржі надати припущену суму грошей, яку вона могла б втратити, якби вони не розкрили помилку, перш ніж вони зможуть повернути вкрадені кошти.
Дослідники безпеки виявили помилку Kraken
За словами Percoco, дослідник безпеки надіслав Kraken сповіщення про програму Bug Bounty 9 червня, стверджуючи, що вони виявили «надзвичайно критичну» помилку, яка дозволяла користувачам штучно завищувати свій баланс на платформі. Хоча біржа побоювалася щодня отримувати численні фальшиві звіти про помилки, вона серйозно поставилася до претензії та зібрала команду для дослідження проблеми.
Команда виявила помилку, яка дозволяла кіберзлочинцям ініціювати депозити на Kraken і отримувати кошти на свої рахунки, не завершуючи депозити. Хоча помилка не загрожує коштам клієнтів, зловмисник міг роздрукувати активи на їхніх рахунках і зняти кошти, які можна було вилучити зі скарбниці Kraken.
Проблему вдалося усунути менш ніж за дві години після її виявлення. Команда виявила, що помилка виникла через недолік в останньому користувацькому досвіді (UX) Kraken. Після подальшого дослідження Kraken виявив, що три облікові записи вже використовували недолік. Один обліковий запис був пов’язаний з користувачем, який вважав себе дослідником безпеки.
Виявилося, що дослідник спочатку знайшов помилку, використав її, щоб зарахувати на свій рахунок Kraken 4 долари в криптовалюті, і замість того, щоб подавати звіт про винагороду за помилку відповідній команді, повідомив своїх двох колег, які використали недолік для більших сум. Разом вони зняли зі своїх рахунків приблизно 3 мільйони доларів у криптовалюті.
Баг Баунті перетворився на вимагання
Коли Kraken зв’язався з дослідниками безпеки та попросив звіт про їхню діяльність і повернення активів, які вони вилучили, вони відмовилися. Вони назвали Kraken нерозумним і непрофесійним і вимагали від платформи надати оцінку шкоди, яку могла завдати помилка.
Перкоко сказав, що Kraken звернувся до правоохоронних органів, оскільки справа стосується вимагання.
«Ми розглядаємо це як кримінальне провадження і відповідно погоджуємося з правоохоронними органами. Ми вдячні, що повідомили про цю проблему, але на цьому ця думка закінчується», – заявив Перкоко.
Повідомлення Хакери White-Hat відмовляються повернути 3 мільйони доларів, вкрадені зі скарбниці Kraken, вперше з’явилося на CryptoPotato.
