كريكن تكشف عن ثغرة سمحت لـ"باحثي أمن" مزيفين باستغلال 3 ملايين دولار
- ثغرة حرجة في منصة كريكن تتيح للمجرمين طباعة المال من العدم.
- باحث أمني يحذّر المنصة من الثغرة، مطالبًا بمبلغ يتجاوز الحد الأقصى للجائزة.
- صرّحت كريكن بأن تصرفات الباحثين كانت ذات طبيعة إجرامية، وأنها تبلغ السلطات بذلك.
خسرت البورصة الأمريكية Kraken ما يقرب من 3 ملايين دولار من خزائنها بعد أن استغلت شركة أمنية غير معروفة ثغرة في منصتها. كشف كبير مسؤولي الأمن، نيك بيركوكو، كشف هذا في منشور على منصة X، مشيراً إلى أن شركة الأمن رفضت إعادة الأموال وتطالب الآن بمبلغ أعلى كمكافأة.
اقرأ أيضًا: تبادل العملات المشفرة DMM Bitcoin يتعهد بسداد المستخدمين بعد اختراق بقيمة 300 مليون دولار
رداً على ذلك، صعدت Kraken الأمر إلى وكالات إنفاذ القانون وستتعامل معه كجريمة. ومع ذلك، لا يحتاج المستخدمون إلى القلق، حيث تدعي البورصة أنها حللت الثغرة بالفعل، ولم يتأثر أي حساب مستخدم.
ثغرة Kraken تسمح بطباعة الأموال
ووفقاً لبيركوكو، حذر باحث أمني Kraken من ثغرة حرجة عبر برنامج مكافآت الثغرات (Bug Bounty) في 9 يونيو. بعد التحقيقات الداخلية، اكتشف فريق أمن البورصة ثغرة تسمح لفاعل سيء ببدء إيداع في حسابه على Kraken واستلام الأموال دون إكمال الإيداع. يمكن لمهاجم خبيث طباعة ملايين الدولارات من العدم من خلال هذا الاستغلال.
وقال موضحًا:
"اكتشفنا ثغرة معزولة. سمحت لمهاجم خبيث، في ظل الظروف المناسبة، ببدء إيداع على منصتنا واستلام الأموال في حسابه دون إكمال الإيداع بالكامل."
قام فريق الأمن الداخلي بتخفيف المشكلة خلال 47 دقيقة وإصلاحها تماماً بعد بضع ساعات. ومع ذلك، اكتشفت الشركة أن الثغرة نتجت عن تغيير حديث في واجهة المستخدم (UX) سمح بإ credited حسابات العملاء قبل تسوية أصولهم. على الرغم من أن التغيير كان مدمجاً لتمكين التداول الفوري، إلا أنه لم يتم اختباره بالكامل ضد هذا النوع من المخاطر.
ومع ذلك، أضاف بيركوكو أن الحادث لم يؤثر على أصول المستخدمين، وأن استغلال الثغرة أثر فقط على خزينة Kraken.
باحثو الأمن هم مجرمون
في الوقت نفسه، وجدت تحليل للثغرة أن ثلاثة حسابات استغلت العيب، وكان أحد هذه الحسابات مسجلاً باسم باحث الأمن الذي اتصل بالبورصة في البداية.
اقرأ أيضًا: Kraken تفكر في إزالة USDT استجابة للوائح الاتحاد الأوروبي الجديدة
بينما استخدم حساب الباحث الثغرة فقط لإ credited نفسه 4 دولارات، بما يكفي لإثبات أن الثغرة حقيقية، سحبت الحسابات الأخرى ما يقرب من 3 ملايين دولار من حساباتها على Kraken باستخدام نفس الاستغلال. ومن المثير للاهتمام، أن هذه الحسابات كانت مرتبطة بزملاء باحث الأمن.
أوضحت Kraken أن محاولاتها لاستعادة الأموال كانت فاشلة لأن الباحثين يطلبون الآن دفعة أعلى يعتقدون أنها تتناسب مع خطر الثغرة.
وصف بيركوكو هذا بأنه عمل ابتزاز، يتعارض مع المبدأ وراء برنامج مكافآت الثغرات. وأضاف أن انتهاك تلك القواعد التي تمنح القبعات البيضاء ترخيصاً للاختراق يجعل باحثي الأمن مجرمين، والبورصة تتعامل معهم على هذا الأساس.
لا تكتفِ بقراءة أخبار العملات الرقمية فحسب، بل افهمها. اشترك في نشرتنا الإخبارية. مجانية.
إخلاء مسؤولية. المعلومات المقدمة ليست نصيحة تداول. Cryptopolitan.com لا تتحمل أي مسؤولية عن أي استثمارات تتم بناءً على المعلومات المقدمة في هذه الصفحة. نوصي بشدة بإجراء بحث مستقل و/أو الاستعانة بمستشار مؤهل قبل اتخاذ أي قرارات استثمارية.
