Kraken révèle un bug permettant à des « chercheurs en sécurité » malveillants d'exploiter 3 millions de dollars

L'échange basé aux États-Unis Kraken a perdu près de 3 millions de dollars dans son trésor après qu'une société de sécurité non identifiée a exploité un bug sur sa plateforme. Le directeur de la sécurité, Nick Percoco, a révélé cela dans un post sur X, affirmant que la société de sécurité a refusé de rendre les fonds et exige maintenant un paiement plus élevé en tant que prime.

À lire également : La plateforme d'échange de crypto DMM Bitcoin promet de rembourser les utilisateurs après un piratage de 300 millions de dollars

En réponse, Kraken a escaladé l'affaire auprès des agences de police et la traitera comme un crime. Cependant, les utilisateurs n'ont pas à s'inquiéter, car l'échange affirme avoir déjà résolu la vulnérabilité et aucun compte utilisateur n'a été impacté.

Le bug de Kraken permet l'impression d'argent

Selon Percoco, un chercheur en sécurité a alerté Kraken sur un bug critique via son programme Bug Bounty le 9 juin. Après des enquêtes internes, l'équipe de sécurité de l'échange a découvert une vulnérabilité qui pourrait permettre à un mauvais acteur d'initier un dépôt sur son compte Kraken et de recevoir les fonds sans terminer le dépôt. Un attaquant malveillant pourrait imprimer des millions à partir de rien grâce à cette exploitation.

Il a expliqué :

« Nous avons découvert un bug isolé. Cela a permis à un attaquant malveillant, dans des circonstances favorables, d'initier un dépôt sur notre plateforme et de recevoir des fonds sur son compte sans avoir entièrement terminé le dépôt. »

L'équipe de sécurité interne a atténué le problème en 47 minutes et l'a corrigé complètement après quelques heures. Cependant, l'entreprise a découvert que le bug résultait d'un changement récent dans son UX qui permettait aux comptes clients d'être crédités avant le dénouement de leurs actifs. Bien que le changement ait été intégré pour permettre le trading instantané, il n'a pas été entièrement testé contre ce type de risque.

Cependant, Percoco a ajouté que l'incident n'a pas affecté les actifs des utilisateurs et que les exploitations de la vulnérabilité n'ont touché que le trésor de Kraken.

Les chercheurs en sécurité sont des criminels

Pendant ce temps, une analyse de la vulnérabilité a révélé que trois comptes ont exploité la faille, et l'un de ces comptes était enregistré sous le nom du chercheur en sécurité qui a initialement contacté la plateforme d'échange.

À lire également : Kraken envisage de retirer le USDT en réponse à la nouvelle réglementation de l'UE

Bien que le compte du chercheur n'ait utilisé la faille que pour créditer 4 $ sur son propre compte, suffisant pour prouver l'existence du bug, les deux autres comptes ont retiré près de 3 millions de dollars de leurs comptes Kraken en utilisant la même exploitation. Fait intéressant, ces comptes étaient associés à des collaborateurs du chercheur en sécurité.

Kraken a expliqué que ses tentatives pour récupérer les fonds ont été vaines, car les chercheurs demandent désormais un paiement plus élevé qu'ils estiment proportionnel au risque du bug.

Percoco a qualifié cela d'acte d'extorsion, ce qui contredit le principe du programme Bug Bounty. Il a ajouté que violer les règles qui donnent aux hackers éthiques la licence de pirater fait des chercheurs en sécurité des criminels, et que l'échange les traite comme tels.