كشفت منصة كراكن عن ثغرة سمحت لباحثين أمنيين متسللين باستغلالها وسرقة 3 ملايين دولار

خسرت منصة التداول الأمريكية "كراكن" ما يقارب 3 ملايين دولار من ميزانيتها بعد أن استغلت شركة أمنية لم يُكشف عن اسمها ثغرة أمنية في منصتها. وكشف عن ذلك في منشور على موقع "إكس"، موضحًا أن الشركة الأمنية رفضت إعادة الأموال وتطالب الآن بمكافأة مالية أكبر.

اقرأ أيضاً: منصة تداول العملات الرقمية DMM Bitcoin تتعهد بتعويض المستخدمين بعد عملية اختراق بقيمة 300 مليون دولار.

رداً على ذلك، أحالت منصة كراكن الأمر إلى جهات إنفاذ القانون وستتعامل معه كجريمة. مع ذلك، لا داعي للقلق، إذ تؤكد المنصة أنها قد عالجت الثغرة الأمنية بالفعل، ولم يتأثر أي حساب مستخدم.

خلل كراكن يسمح بطباعة النقود

بحسب بيركوكو، أبلغ باحث أمني منصة كراكن عن ثغرة أمنية خطيرة عبر برنامج مكافآت اكتشاف الثغرات في 9 يونيو. وبعد تحقيقات داخلية، اكتشف فريق أمن المنصة ثغرة تسمح للمهاجمين بإيداع الأموال في حساباتهم على كراكن واستلامها دون إتمام عملية الإيداع. وبذلك، يستطيع المهاجمون استغلال هذه الثغرة لتحقيق مكاسب مالية هائلة.

وأوضح قائلاً:

"لقد اكتشفنا خللاً معزولاً. سمح هذا الخلل لمهاجم خبيث، في ظل ظروف معينة، ببدء عملية إيداع على منصتنا واستلام الأموال في حسابه دون إتمام عملية الإيداع بالكامل."

تمكن فريق الأمن الداخلي من معالجة المشكلة في غضون 47 دقيقة، وأصلحها تمامًا بعد بضع ساعات. مع ذلك، اكتشفت الشركة أن الخلل ناتج عن تغيير حديث في واجهة المستخدم، سمح بإضافة الرصيد إلى حسابات العملاء قبل إتمام عملية تصفية أصولهم. ورغم أن هذا التغيير أُدمج لتمكين التداول الفوري، إلا أنه لم يُختبر بشكل كامل في مواجهة هذا النوع من المخاطر.

ومع ذلك، أضاف بيركوكو أنdent لم يؤثر على أصول المستخدمين، وأن استغلال الثغرة الأمنية لم يؤثر إلا على خزينة كراكن.

باحثو الأمن مجرمون

وفي الوقت نفسه، كشف تحليل الثغرة الأمنية أن ثلاثة حسابات استغلت الخلل، وأن أحد هذه الحسابات مسجل باسم الباحث الأمني ​​الذي اتصل في البداية بالبورصة.

اقرأ أيضاً: منصة كراكن تدرس شطب عملة USDT من التداول استجابةً للوائح الاتحاد الأوروبي الجديدة

بينما لم يستغل حساب الباحث الثغرة إلا لإيداع 4 دولارات فقط، وهو مبلغ كافٍ لإثبات وجودها، سحب الحسابان الآخران ما يقارب 3 ملايين دولار من حساباتهما على منصة كراكن باستخدام الثغرة نفسها. ومن المثير للاهتمام أن هذه الحسابات كانت مرتبطة بأشخاص على صلة بالباحث الأمني.

أوضحت شركة كراكن أن محاولاتها لاسترداد الأموال باءت بالفشل، حيث يطالب الباحثون الآن بدفع مبلغ أكبر يعتقدون أنه يتناسب مع مخاطر الخلل.

وصف بيركوكو هذا بأنه ابتزاز، وهو ما يتناقض مع المبدأ الذي يقوم عليه برنامج مكافآت اكتشاف الثغرات. وأضاف أن انتهاك تلك القواعد التي تمنح قراصنة القبعة البيضاء ترخيصًا للاختراق يجعل باحثي الأمن مجرمين، وأن المنصة تتعامل معهم على هذا الأساس.