Kraken enthüllt Fehler, der bösartigen „Sicherheitsforschern“ die Ausbeutung von 3 Mio. Dollar ermöglichte

Die US-basierte Börse Kraken verlor fast 3 Millionen US-Dollar in ihrer Kasse, nachdem eine nicht näher bezeichnete Sicherheitsfirma einen Fehler auf ihrer Plattform ausgenutzt hat. Der Chief Security Officer, Nick Percoco, gab das Team teilte dies in einem Beitrag auf X mit und erklärte, dass die Sicherheitsfirma sich geweigert hat, die Gelder zurückzugeben und nun eine höhere Auszahlung als Prämie verlangt.

Auch lesen: Krypto-Börse DMM Bitcoin verspricht, Benutzer nach $300M Hack zu entschädigen

Als Reaktion darauf hat Kraken die Angelegenheit an Strafverfolgungsbehörden eskaliert und wird sie als Straftat behandeln. Benutzer müssen sich jedoch keine Sorgen machen, da die Börse behauptet, die Sicherheitslücke bereits behoben zu haben und kein Benutzerkonto beeinträchtigt wurde.

Kraken-Fehler ermöglicht Gelddruck

Laut Percoco hat ein Sicherheitsforscher Kraken am 9. Juni über einen kritischen Fehler über sein Bug-Bounty-Programm informiert. Bei internen Untersuchungen entdeckte das Sicherheitsteam der Börse eine Verwundbarkeit, die es einem böswilligen Akteur ermöglichen könnte, eine Einzahlung auf ihr Kraken-Konto zu initiieren und die Gelder zu erhalten, ohne die Einzahlung abzuschließen. Ein böswilliger Angreifer könnte durch diesen Fehler Millionen aus dem Nichts drucken.

Er erklärte:

„Wir haben einen isolierten Fehler entdeckt. Dieser ermöglichte es einem böswilligen Angreifer unter bestimmten Umständen, eine Einzahlung auf unserer Plattform zu initiieren und Gelder auf ihrem Konto zu erhalten, ohne die Einzahlung vollständig abzuschließen.“

Das interne Sicherheitsteam hat das Problem innerhalb von 47 Minuten gemildert und nach einigen Stunden vollständig behoben. Das Unternehmen stellte jedoch fest, dass der Fehler auf eine kürzliche Änderung in der Benutzeroberfläche zurückzuführen war, die es Kundenkonten ermöglichte, vor der Abdeckung ihrer Vermögenswerte gutgeschrieben zu werden. Obwohl die Änderung integriert wurde, um sofortiges Trading zu ermöglichen, wurde sie nicht vollständig gegen diese Art von Risiko getestet.

Percoco fügte jedoch hinzu, dass der Vorfall die Vermögenswerte der Benutzer nicht beeinträchtigt hat und die Ausnutzungen der Verwundbarkeit nur die Kraken-Kasse betroffen haben.

Die Sicherheitsforscher sind Kriminelle

Unterdessen ergab eine Analyse der Verwundbarkeit, dass drei Konten den Fehler ausgenutzt haben, und eines dieser Konten war auf den Namen des Sicherheitsforschers registriert, der ursprünglich Kontakt zur Börse aufgenommen hatte.

Auch lesen: Kraken erwägt Delisting von USDT als Reaktion auf neue EU-Vorschriften

Während das Konto des Forschers den Fehler nur nutzte, um sich selbst 4 US-Dollar gutzuschreiben, genug, um zu beweisen, dass der Fehler real war, zogen die beiden anderen Konten fast 3 Millionen US-Dollar von ihren Kraken-Konten mit dem gleichen Fehler ab. Interessanterweise waren diese Konten mit Mitarbeitern des Sicherheitsforschers verbunden.

Kraken erklärte, dass seine Versuche, die Gelder zurückzubekommen, vergeblich waren, da die Forscher nun eine höhere Zahlung verlangen, die ihrer Meinung nach dem Risiko des Fehlers entspricht.

Percoco beschrieb dies als Erpressung, was dem Prinzip hinter dem Bug-Bounty-Programm widerspricht. Er fügte hinzu, dass die Verletzung dieser Regeln, die White-Hat-Hackern die Lizenz zum Hacken geben, die Sicherheitsforscher zu Kriminellen macht, und die Börse behandelt sie als solche.