Kraken revela un error que permitió a 'investigadores de seguridad' malintencionados explotar $3M
- Error crítico en Kraken permite a actores maliciosos imprimir dinero de la nada.
- Investigador de seguridad alerta al exchange sobre vulnerabilidad, pide más que la recompensa máxima.
- Kraken dijo que las acciones de los investigadores fueron de naturaleza criminal y está alertando a las autoridades.
El intercambio estadounidense Kraken perdió casi $3 millones en su tesorería después de que una empresa de seguridad no identificada explotara un error en su plataforma. El oficial de seguridad jefe, Nick Percoco, reveló esto en una publicación en X, afirmando que la empresa de seguridad se ha negado a devolver los fondos y ahora exige un pago mayor como recompensa.
También leer: El Exchange de Criptomonedas DMM Bitcoin se Compromete a Reembolsar a los Usuarios Después del Hackeo de $300M
En respuesta, Kraken ha escalado el asunto a las agencias de aplicación de la ley y lo tratará como un delito. Sin embargo, los usuarios no tienen que preocuparse, ya que el intercambio afirma que ya ha resuelto la vulnerabilidad y ninguna cuenta de usuario ha sido afectada.
El error de Kraken permite imprimir dinero
Según Percoco, un investigador de seguridad alertó a Kraken sobre un error crítico a través de su programa Bug Bounty el 9 de junio. Tras investigaciones internas, el equipo de seguridad del intercambio descubrió una vulnerabilidad que podría permitir a un actor malicioso iniciar un depósito en su cuenta de Kraken y recibir los fondos sin completar el depósito. Un atacante malicioso podría imprimir millones de la nada a través de esta explotación.
Explicó lo siguiente:
“Descubrimos un error aislado. Esto permitió a un atacante malicioso, bajo las circunstancias correctas, iniciar un depósito en nuestra plataforma y recibir fondos en su cuenta sin completar completamente el depósito.”
El equipo de seguridad interno mitigó el problema en 47 minutos y lo solucionó por completo después de unas pocas horas. Sin embargo, la firma descubrió que el error se debió a un cambio reciente en su UX que permitía acreditar cuentas de clientes antes de que sus activos se liquidaran. Aunque el cambio se integró para permitir el comercio instantáneo, no se probó completamente contra este tipo de riesgo.
Sin embargo, Percoco añadió que el incidente no afectó los activos de los usuarios, y las explotaciones de la vulnerabilidad solo afectaron a la tesorería de Kraken.
Los investigadores de seguridad son criminales
Mientras tanto, un análisis de la vulnerabilidad encontró que tres cuentas explotaron el fallo, y una de esas cuentas estaba registrada bajo el nombre del investigador de seguridad que inicialmente contactó al intercambio.
También leer: Kraken Considera Deslistar USDT en Respuesta a Nuevas Regulaciones de la UE
Mientras que la cuenta del investigador solo usó el fallo para acreditarse a sí misma $4, suficiente para demostrar que el error era real, las otras dos cuentas retiraron casi $3 millones de sus cuentas de Kraken usando la misma explotación. Curiosamente, estas cuentas estaban asociadas con asociados del investigador de seguridad.
Kraken explicó que sus intentos de recuperar los fondos han sido inútiles ya que los investigadores ahora piden un pago mayor que creen que es proporcional al riesgo del error.
Percoco describió esto como un acto de extorsión, lo que contradice el principio detrás del programa Bug Bounty. Añadió que violar esas reglas que dan a los hackers de sombrero blanco la licencia para hackear convierte a los investigadores de seguridad en criminales, y el intercambio los trata como tales.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
