CertiK erklärt ethischen Hacking-Standpunkt, Kraken gibt vollständige Rückerstattung der Mittel zu

CertiK, das Unternehmen für Smart-Contract-Sicherheit, behauptet weiterhin, dass seine Maßnahmen gegen die Börse Kraken ethisch vertretbar waren und dass es versuchte, das volle Ausmaß der Sicherheitslücken zu schätzen. Die Tester behaupten auch, sie hätten alle Mittel in natura zurückgegeben und Kraken nicht erpresst. 

Das CertiK-Team entwickelte eine neue Erklärung, um einige frühere Kraken-Aussagen zu widerlegen. Die Tester lehnten Forderungen nach einer Belohnung ab und gaben an, ihre Priorität liege in der Behebung der Verwundbarkeit, die es ermöglicht, Mittel auf ein Konto zu drucken. 

Lesen Sie: Kraken gibt $3M zurück, während die Kritik an Certik zunimmt

Alle abgehobenen Mittel stammten aus Krakens Cold Wallets, und keine Benutzerkonten waren betroffen. Die Coins wurden basierend auf CertiKs eigenen Berechnungen und Transaktionsaufzeichnungen zurückgegeben. 

Die umstrittenste Aktion von CertiK umfasste Aufzeichnungen über die Überweisung einiger Mittel an Tornado Cash. Der Coin-Mixer war bereits Sanktionen von der US-amerikanischen Finanzbehörde Treasury Department sanktioniert worden, die Personen mit Wohnsitz in den USA davon abhielt, damit zu interagieren. 

CertiK ist sich der Nutzung von Tornado Cash sehr wohl bewusst und hat die Überweisungen als Beweis für seinen Exploit aufgenommen. Zuvor hat CertiK auch die Nutzung von Tornado Cash im Rahmen älterer Exploits verfolgt. Einer der Hauptfokusse von Certik bleibt die Prüfung von Smart Contracts, die oft ähnliche Logikfehler enthalten, die zu unbegrenzter Token-Erstellung führen.

CertiKs Ansatz zum ethischen Hacking beunruhigte Beobachter, da kleine Beträge direkt an Tornado Cash gesendet wurden, um den Exploit zu testen. Einige Schritte im Kraken-Testprozess wurden in den sozialen Medien geleakt, bevor Kraken schließlich die tatsächliche Größe des Exploits mitteilte. 

Das Thema einer Bug-Bounty wurde nicht diskutiert, aber CertiK behauptet weiterhin, es habe keine Belohnung benötigt, um die Mittel zurückzugeben. Bisher hat Krakens Sicherheitsteam keine Belohnung für CertiK angekündigt. 

Kraken gibt zu, alle Mittel erhalten zu haben

CertiK generierte Guthaben auf der zentralisierten Kraken-Plattform und führte Abhebungen im Namen dieser Konten durch. 

Krakens Behauptung, CertiK sei bei seinen Rückgaben ungenau gewesen, war die umstrittenste. Dies wurde jedoch einige Tage später widerlegt. Krakens Chief Security Officer Nick Percoco kündigte an, dass die Mittel abzüglich der Transaktionsgebühren vollständig zurückgegeben wurden. 

CertiKs Buchhaltung meldete Abhebungen von nur ETH, USDT und XMR, während Kraken auch behauptete, dass 155.818,44 MATIC abgehoben und gemischt wurden. Die Abhebungen wurden auf rund 3 Millionen US-Dollar geschätzt, obwohl Certik einen kleinen Betrag nutzte, um den Exploit zu beweisen. 

Weitere Analysen des Exploits zeigten, dass CertiK nicht existierende MATIC-Guthaben generierte, die Transaktionen jedoch fehlschlugen und keine Mittel die Kraken-Cold-Wallets verließen. Das generierte MATIC war nur ein interner Exploit, der nicht zur Übertragung echter Polygon-Token führte. 

In einigen Fällen kann das Vorhandensein von Mitteln simuliert werden, da andere Protokolle mit Flash-Loans angegriffen wurden. 

CertiK behauptete, dass Angriffe im Juni wieder aufgenommen wurde, wobei mehr als 30 Millionen US-Dollar aus Apps und Protokollen entnommen wurden. Die Anzahl umfasst keine Angriffe gegen einzelne Wallets. 

Tornado Cash ist auch Jahre nach den Sanktionen noch in Betrieb

Der Tornado-Cash-Mixer erleichtert weiterhin Exploits, da Mittel nach dem Durchgang durch den Mixer nicht nachverfolgbar sind. Selbst nach dem Schwarzenlisten von Wallets und Adressen gibt es nichts, das Hacker davon abhält, ETH zu mischen und es an neue, unbekannte Wallets zu senden. 

Auch lesen: Gruppe hinter der Tornado-Cash-Klage verliert gegen das US-Finanzministerium

Seit 2022 hat Tornado Cash über begrenzte Ressourcen verfügt, aber der Dienst ist weiterhin in Betrieb. 

Der Gründer von Tornado Cash, Alexey Pertsev, erhielt im Mai 2024 eine Strafe mit potenziellen Jahren hinter Gittern. Doch die Sanktionen und Verbote hindern niemanden daran, den Mixer zu nutzen, was keine Auswirkungen auf Jurisdiktionen außerhalb der USA hat.

Einige Coins, wie USDC, haben alle Tornado-Cash-Verträge auf die schwarze Liste gesetzt. An den Vertrag gesendete Mittel können nicht wieder abgerufen werden. USDC ist auch für seine zentrale Fähigkeit bekannt, Coins einzufrieren. Für Kraken war die Möglichkeit, an eine Tornado-Cash-Vertragsadresse abzuheben, ebenfalls eine große Verwundbarkeit. Die meisten Token-Produzenten entscheiden sich dafür, keine Kontrolle über Token auszuüben, was sie anfällig für Diebstahl macht und sie durch Mischen unrettbar macht. 

Bericht von Cryptopolitan von Hristina Vasileva