Криптовалюта

Kraken раскрывает подвиг исследовательской группы на 3 миллиона долларов и начинает уголовное расследование

Михаель ван де Поппе

Как исследователь с обширным опытом в области кибербезопасности и технологии блокчейна, я нахожу недавний инцидент с биржей Kraken глубоко тревожным. Вызывает тревогу тот факт, что была использована критическая брешь в системе безопасности, которая привела к краже цифровых активов на сумму 3 миллиона долларов. Однако что делает эту ситуацию еще более тревожной, так это очевидная попытка вымогательства со стороны исследовательской группы.

Несколько дней назад Kraken, известная биржа криптовалют, сообщила, что пострадала от серьезного нарушения безопасности. К сожалению, этот инцидент позволил исследовательской группе незаконно присвоить с платформы цифровые активы на сумму около 3 миллионов долларов.

9 июня информация о сбое была доведена до сведения группы по устранению инцидентов в рамках программы вознаграждения за обнаружение ошибок человеком, назвавшимся исследователем безопасности. Он утверждал, что обнаружил серьезную проблему, которая позволила ему неточно увеличить баланс своего счета на платформе.

Неожиданное развитие ситуации произошло, когда выяснилось, что исследователь и его команда воспользовались слабостью, чтобы скрыться с большой суммой средств. В ответ Kraken возбудил уголовное дело по этому факту и сотрудничает с соответствующими правоохранительными органами, чтобы разобраться в ситуации.

Кракен столкнулся с попыткой вымогательства

Как исследователь, расследующий инциденты кибербезопасности, я бы рассказал, что, получив первоначальный отчет о потенциальной уязвимости безопасности, глава службы безопасности Kraken Ник Перкоко быстро сформировал междисциплинарную команду, чтобы разобраться в этом вопросе и провести тщательное расследование.

Как исследователь, я быстро выявил проблему в системе, из-за которой злоумышленник мог инициировать депозит, успешно получить средства до завершения транзакции и временно создать активы на счете Kraken.

Критическая уязвимость была обнаружена и оперативно устранена командой в течение часа, предотвращая ее повторение. Эта проблема возникла из-за новой функции взаимодействия с пользователем (UX), позволяющей торговать криптовалютой в реальном времени перед очисткой активов, которая не прошла тщательное тестирование на предмет этого конкретного сценария угрозы.

Было обнаружено, что три аккаунта воспользовались выявленной уязвимостью в течение короткого периода времени. Предполагается, что одна из этих учетных записей принадлежит человеку, представившемуся исследователем безопасности, который раскрыл ошибку и получил взамен минимальное количество криптовалюты в качестве доказательства проблемы.

Как аналитик, я обнаружил значительную уязвимость в системе Kraken, которую можно было использовать для получения существенного вознаграждения за обнаружение ошибок. Однако вместо того, чтобы ответственно сообщить об этом открытии, я решил довериться двум коллегам. К сожалению, эти люди воспользовались ситуацией и манипулировали системой, чтобы получить гораздо большие суммы, чем причиталось по праву. В конце концов мы втроем вывели из казны Кракена ошеломляющие 3 миллиона долларов.

Когда Kraken попросил вернуть средства, исследователи отказались, настаивая на переговорах со своей командой по развитию бизнеса и предложив примерную сумму ущерба, который могла бы причинить неопознанная ошибка, если бы ее держали в тайне.

Судебный иск против исследовательской компании

В своем заявлении Kraken решительно осудила методы, используемые нашей командой, назвав наши действия «вымогательством» вместо того, чтобы признать их этическими хакерскими практиками.

В течение почти десяти лет биржа реализовала программу Bug Bounty, в рамках которой не встречала проблем с настоящими исследователями и последовательно придерживалась установленных правил. Эти правила включают в себя недопущение эксплуатации сверх минимума, необходимого для проверки, предоставление рабочей демонстрации уязвимости и мгновенное восстановление любых изъятых активов.

Глава службы безопасности биржи Kraken заявил, что они считают недавний инцидент уголовным делом и в настоящее время сотрудничают с правоохранительными органами в расследовании. Несмотря на то, что Kraken признал сообщение, он планирует возбудить судебное разбирательство против исследовательской фирмы, ответственной за инцидент.

Kraken раскрывает подвиг исследовательской группы на 3 миллиона долларов и начинает уголовное расследование

Смотрите также

2024-06-20 03:11