Kraken rivela un bug che ha permesso a 'ricercatori di sicurezza' malintenzionati di sfruttare $3M

L'exchange statunitense Kraken ha perso quasi 3 milioni di dollari nel suo tesoro dopo che una società di sicurezza non identificata ha sfruttato un bug sulla sua piattaforma. Il chief security officer, Nick Percoco, ha rivelato questo in un post su X, affermando che la società di sicurezza ha rifiutato di restituire i fondi e ora richiede un pagamento più alto come bounty.

Leggi anche: Crypto Exchange DMM Bitcoin Promette di Rimborsare gli Utenti Dopo l'Hack da 300M

In risposta, Kraken ha escalated la questione alle autorità di polizia e la tratterà come crimine. Tuttavia, gli utenti non devono preoccuparsi, poiché l'exchange afferma di aver già risolto la vulnerabilità e nessun account utente è stato interessato.

Il bug di Kraken permette la stampa di denaro

Secondo Percoco, un ricercatore di sicurezza ha avvisato Kraken di un bug critico tramite il suo programma Bug Bounty il 9 giugno. Dopo indagini interne, il team di sicurezza dell'exchange ha scoperto una vulnerabilità che avrebbe permesso a un cattivo attore di avviare un deposito sul loro account Kraken e ricevere i fondi senza completare il deposito. Un attaccante malizioso potrebbe stampare milioni dal nulla attraverso questa exploit.

Ha spiegato:

“Abbiamo scoperto un bug isolato. Questo ha permesso a un attaccante malizioso, in circostanze appropriate, di avviare un deposito sulla nostra piattaforma e ricevere fondi nel loro account senza completare completamente il deposito.”

Il team di sicurezza interno ha mitigato il problema entro 47 minuti e lo ha risolto completamente dopo alcune ore. Tuttavia, la società ha scoperto che il bug era il risultato di un recente cambiamento nella sua UX che permetteva agli account client di essere accreditati prima che le loro risorse fossero chiarite. Sebbene il cambiamento fosse integrato per abilitare il trading istantaneo, non era stato completamente testato contro questo tipo di rischio.

Tuttavia, Percoco ha aggiunto che l'incidente non ha influenzato le risorse degli utenti e le exploit della vulnerabilità hanno interessato solo il tesoro di Kraken.

I ricercatori di sicurezza sono criminali

Nel frattempo, un'analisi della vulnerabilità ha trovato che tre account hanno sfruttato il difetto, e uno di quegli account era registrato con il nome del ricercatore di sicurezza che inizialmente ha contattato l'exchange.

Leggi anche: Kraken valuta il delisting di USDT in risposta alle nuove regolamentazioni UE

Mentre l'account del ricercatore ha usato il difetto solo per accreditare a se stesso $4, abbastanza per dimostrare che il bug era reale, gli altri due account hanno prelevato quasi 3 milioni di dollari dai loro account Kraken usando la stessa exploit. Interessantemente, questi account erano associati ad associati del ricercatore di sicurezza.

Kraken ha spiegato che i suoi tentativi di far restituire i fondi sono stati inutili poiché i ricercatori ora chiedono un pagamento più alto che credono sia commisurato al rischio del bug.

Percoco ha descritto questo come un atto di estorsione, che contraddice il principio dietro il programma Bug Bounty. Ha aggiunto che violare quelle regole che danno agli hacker white hat la licenza di hackerare rende i ricercatori di sicurezza criminali, e l'exchange li sta trattando come tali.