Theo Báo cáo của CertiK: CertiK đã phát hiện ra một loạt lỗ hổng nghiêm trọng trong hệ thống trao đổi của Kraken có khả năng dẫn đến thiệt hại hàng trăm triệu đô la. Những phát hiện này được đưa ra sau một cuộc điều tra chuyên sâu về hệ thống tiền gửi và các giao thức bảo mật của Kraken.
- Các lỗ hổng nghiêm trọng: CertiK đã xác định một số lỗ hổng trong hệ thống của Kraken, bao gồm cả việc không phân biệt được các trạng thái chuyển tiền nội bộ khác nhau trong hệ thống gửi tiền.
- Vi phạm an ninh nghiêm trọng: Thông qua quá trình kiểm tra nghiêm ngặt, CertiK nhận thấy rằng hệ thống phòng thủ của Kraken đã bị xâm phạm trên nhiều mặt. Các câu hỏi kiểm tra chính bao gồm liệu một tác nhân độc hại có thể giả mạo các giao dịch tiền gửi, rút tiền giả và trốn tránh các biện pháp kiểm soát rủi ro khi thực hiện các yêu cầu rút tiền lớn hay không.
Kết quả kiểm tra:
- Kiểm tra bảo mật không thành công: Kraken đã thất bại trong tất cả các thử nghiệm do CertiK thực hiện, bộc lộ những điểm yếu nghiêm trọng:
- Giả mạo tiền gửi: Những kẻ độc hại có thể gửi hàng triệu đô la vào bất kỳ tài khoản Kraken nào mà không bị phát hiện.
- Rút tiền giả: Số tiền giả có giá trị trên 1 triệu USD có thể được rút và chuyển đổi thành tiền điện tử hợp lệ.
- Thiếu cảnh báo: Không có cảnh báo bảo mật nào được kích hoạt trong suốt thời gian thử nghiệm kéo dài nhiều ngày. Kraken chỉ phản hồi và khóa các tài khoản thử nghiệm vài ngày sau khi lỗ hổng được báo cáo chính thức.
Phản hồi của Kraken:
- Phân loại nghiêm trọng: Nhóm bảo mật của Kraken đã phân loại các lỗ hổng là Nghiêm trọng, cấp độ phân loại nghiêm trọng nhất trong sàn giao dịch.
- Nỗ lực khắc phục ban đầu: Sau khi các lỗ hổng được báo cáo, Kraken đã thực hiện các bước để giải quyết và khắc phục chúng.
- Phản ứng gây tranh cãi: Nhóm bảo mật của Kraken bị cáo buộc đã đe dọa cá nhân nhân viên CertiK phải hoàn trả một lượng tiền điện tử không khớp trong một khung thời gian không hợp lý mà không cung cấp địa chỉ trả nợ thích hợp.
Công bố công khai:
Trước những vấn đề này, CertiK đã quyết định công khai những phát hiện này để đảm bảo tính minh bạch và bảo mật cho người dùng. Cộng đồng Web3 cần nhận thức được những lỗ hổng này và những rủi ro tiềm ẩn có thể xảy ra.
Tuyên bố của CertiK:
"Với tinh thần minh bạch và cam kết của chúng tôi với cộng đồng Web3, chúng tôi sẽ công khai để bảo vệ sự an toàn của tất cả người dùng. Chúng tôi kêu gọi Kraken chấm dứt mọi mối đe dọa chống lại tin tặc mũ trắng. Cùng nhau, chúng ta có thể đối mặt với rủi ro và bảo vệ tương lai của Web3."
Phát hiện của CertiK nêu bật các lỗ hổng bảo mật nghiêm trọng trong hệ thống trao đổi của Kraken, gây ra rủi ro tiềm ẩn cho hàng triệu đô la tiền của người dùng. Khi tình hình diễn ra, cộng đồng và các bên liên quan phải luôn cảnh giác và ưu tiên các biện pháp bảo mật để bảo vệ tính toàn vẹn của hệ sinh thái Web3.
