CertiK spiega la posizione sull'hacking etico, Kraken ammette il rimborso completo dei fondi
- Le azioni di CertiK hanno lasciato perplessa la comunità crypto, poiché 3 milioni di dollari sono stati trattenuti per giorni prima che l'exploit fosse comunicato a Kraken.
- Il team di sicurezza di Kraken ha ammesso di aver commesso un errore e ha riconosciuto la correttezza della contabilità dell'exploit di CertiK.
- Tornado Cash continua a funzionare nonostante sia stato sanzionato per i cittadini statunitensi.
CertiK, l'azienda di sicurezza dei contratti intelligenti, continua a sostenere che le sue azioni contro lo scambio Kraken erano etiche e che stava cercando di stimare la portata completa delle vulnerabilità di sicurezza. I tester affermano anche di aver restituito tutti i fondi in natura e di non aver estorto Kraken.
Il team di CertiK ha sviluppato una nuova dichiarazione per confutare alcune precedenti affermazioni di Kraken. I tester hanno negato le richieste di un bounty, affermando che la loro priorità era correggere la vulnerabilità che permetteva di stampare fondi in un account.
Leggi: Kraken recupera 3M mentre aumenta la critica contro Certik
Tutti i fondi prelevati provenivano dai wallet freddi di Kraken e nessun account utente è stato interessato. Le monete sono state restituite in base ai calcoli e ai record delle transazioni di CertiK.
L'azione più controversa di CertiK includeva registri dell'invio di alcuni fondi a Tornado Cash. Il mixer di monete ha affrontato precedenti sanzioni dal Dipartimento del Tesoro degli Stati Uniti, che ha vietato alle persone domiciliati negli USA di interagire con esso.
CertiK è ben consapevole dell'uso di Tornado Cash e ha incluso i trasferimenti come prova della sua exploit. In precedenza, CertiK ha anche tracciato l'uso di Tornado Cash come parte di exploit più vecchi. Uno dei principali focus di Certik rimane l'audit dei contratti intelligenti, che spesso contengono difetti di logica simili che portano alla creazione illimitata di token.
L'approccio di CertiK all'hacking etico ha turbato gli osservatori, poiché piccole somme sono state inviate direttamente a Tornado Cash per testare l'exploit. Alcuni passaggi nel processo di test di Kraken sono stati trapelati sui social media prima che Kraken lo notificasse finalmente della dimensione effettiva dell'exploit.
La questione del bug bounty non è stata discussa, ma CertiK continua a sostenere che non richiedeva un bounty per restituire i fondi. Finora, il team di sicurezza di Kraken non ha annunciato alcun bounty per CertiK.
Kraken ammette di aver ricevuto tutti i fondi
CertiK ha generato saldi sulla piattaforma centralizzata Kraken ed eseguito prelievi per conto di quegli account.
Le affermazioni di Kraken secondo cui CertiK era inaccurato nei suoi restituti erano le più controverse. Tuttavia, questo è stato confutato pochi giorni dopo. Il Chief Security Officer di Kraken, Nick Percoco, ha annunciato che i fondi sono stati restituiti completamente meno le commissioni di transazione.
La contabilità di CertiK ha riportato prelievi solo di ETH, USDT e XMR, mentre Kraken ha anche affermato che sono stati prelevati e miscelati 155.818,44 MATIC. I prelievi sono stati stimati intorno ai 3 milioni di dollari, anche se Certik ha usato una piccola somma per provare l'exploit.
Un'ulteriore analisi dell'exploit ha mostrato che CertiK ha generato saldi MATIC inesistenti, ma le transazioni sono fallite e nessun fondo ha lasciato i wallet freddi di Kraken. Il MATIC generato era solo un exploit interno che non ha comportato il trasferimento di veri token Polygon.
In alcuni casi, la presenza di fondi può essere simulata, poiché altri protocolli sono stati attaccati con prestiti flash.
CertiK ha affermato che attacchi è ripreso a giugno, con oltre 30 milioni di dollari prelevati da app e protocolli. Il conteggio non include attacchi contro singoli wallet.
Tornado Cash è ancora operativo anni dopo le sanzioni
Il mixer Tornado Cash sta ancora facilitando gli exploit, poiché i fondi sono non tracciabili dopo essere passati attraverso il mixer. Anche dopo il blacklisting di wallet e indirizzi, nulla impedisce agli hacker di miscelare ETH e inviarlo a nuovi wallet sconosciuti.
Leggi anche: Il gruppo dietro la causa legale di Tornado Cash perde contro il Tesoro degli Stati Uniti
Dal 2022, Tornado Cash ha avuto risorse limitate, ma il servizio è ancora operativo.
Il fondatore di Tornado Cash, Alexey Pertsev, ha ricevuto una sentenza a maggio 2024, con potenziali anni di carcere. Eppure le sanzioni e i divieti non impediscono a nessuno di utilizzare il mixer, il che non influisce sulle giurisdizioni al di fuori degli USA.
Alcune monete, come USDC, hanno inserito in blacklist tutti i contratti di Tornado Cash. Qualsiasi fondo inviato al contratto non può essere recuperato nuovamente. USDC è anche noto per la sua capacità centralizzata di congelare le monete. Per Kraken, la possibilità di prelevare verso un indirizzo del contratto Tornado Cash era anche una grave vulnerabilità. La maggior parte dei produttori di token sceglie di non esercitare il controllo sui token, lasciandoli vulnerabili al furto e irrecuperabili attraverso la miscelazione.
Reportage di Cryptopolitan di Hristina Vasileva
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hristina Vasileva
Hristina Vasileva si specializza in notizie su DeFi, business ed economia. Si è laureata presso l'Università di Sofia con un Master in Filosofia, dopo aver completato una laurea triennale quadriennale in Amministrazione Aziendale, Giornalismo e Comunicazione di Massa. Ha lavorato per uno dei principali quotidiani del paese, coprendo il settore delle materie prime e i risultati aziendali. Attualmente, Hristina è autrice di notizie collaboratrice per Cryptopolitan.
