Kraken、悪意ある「セキュリティ研究者」が300万ドルを悪用するバグを明らかに

米国の取引所Krakenは、無名のセキュリティ会社がそのプラットフォームのバグを悪用した後、ツアーズからほぼ300万ドルを失いました。チーフセキュリティオフィサーのNick Percocoは、 明らかにした Xでの投稿でこれについて述べ、セキュリティ会社が資金の返還を拒否し、現在はより高い報奨金を要求していると述べています。

関連記事： 暗号資産取引所DMM Bitcoin、$300Mのハック後にユーザーへの返済を誓う

これに対応し、Krakenは事件を法執行機関にエスカレートさせ、犯罪として扱います。しかし、ユーザーは心配する必要はありません。取引所はすでに脆弱性を解決しており、ユーザーアカウントは影響を受けていないと主張しています。

Krakenのバグがお金を印刷可能にする

Percocoによると、セキュリティ研究者は6月9日にBug Bountyプログラムを通じてKrakenに重要なバグを通報しました。内部調査の結果、取引所のセキュリティチームは、悪意のある行為者がKrakenアカウントに入金を開始し、入金完了前に資金を受け取ることができる脆弱性を発見しました。悪意のある攻撃者は、この脆弱性を通じて空中から数百万ドルを印刷できました。

彼は説明した：

「私たちは孤立したバグを発見しました。これにより、悪意のある攻撃者が適切な状況下で、プラットフォームに入金を開始し、入金完了前にアカウントに資金を受け取ることができました。」

内部セキュリティチームは47分以内に問題を軽減し、数時間後に完全に修正しました。しかし、同社は、このバグがクライアントアカウントが資産の決済前にクレジットされることを可能にした最近のUX変更の結果であることを発見しました。この変更は即時取引を可能にするために統合されましたが、この種のリスクに対して完全にテストされていませんでした。

しかし、Percocoは、この事件がユーザーの資産に影響を与えず、脆弱性の悪用はKrakenのツアーズのみに影響を与えたと付け加えました。

セキュリティ研究者は犯罪者である

一方、脆弱性の分析により、3つのアカウントがこの欠陥を悪用し、その1つのアカウントが最初に取引所に連絡したセキュリティ研究者の名前で登録されていることがわかりました。

関連記事： Krakenは新しいEU規制に対応してUSDTのデリストを検討

研究者のアカウントは欠陥を使用して自分自身に4ドルをクレジットするだけでしたが、バグが現実であることを証明するには十分でした。他の2つのアカウントは、同じ脆弱性を使用してKrakenアカウントからほぼ300万ドルを引き出しました。興味深いことに、これらのアカウントはセキュリティ研究者の仲間に関連していました。

Krakenは、資金の返還を試みたが実を結んでおらず、研究者らはバグのリスクに見合ったより高い支払いを求めていると説明した。

Percoco氏はこれを脅迫行為と見なしており、バグ報奨金プログラムの原則に反すると指摘した。彼は、ホワイトハットハッカーにハッキングの許可を与えるこれらのルールを違反することは、セキュリティ研究者を犯罪者にし、取引所は彼らをそのように扱っていると付け加えた。