Kraken, 악의적 ‘보안 연구원’이 300만 달러를 착취할 수 있게 한 버그 공개

미국 기반 거래소 크레이켄(Kraken)은 익명의 보안 회사가 플랫폼의 버그를 악용하여 자금고에서 거의 300만 달러를 손실했습니다. 최고 보안 책임자 닉 페르코코(Nick Percoco)는 공개 X(구 트위터) 게시글에서 이같이 밝히며, 보안 회사가 자금 반환을 거부하고 이제 보너스로 더 높은 금액을 요구한다고 밝혔습니다.

함께 읽기: 암호화폐 거래소 DMM Bitcoin, $300M 해킹 후 사용자 보상 약속

이에 크레이켄은 사안을 법 집행 기관에 제소하여 범죄로 처리하겠다고 밝혔습니다. 다만 거래소는 이미 취약점을 해결했으며 사용자 계정에 영향을 미치지 않았으므로 사용자는 걱정할 필요가 없습니다.

크레이켄 버그로 인한 돈 인쇄 가능성

페르코코에 따르면, 보안 연구원은 6월 9일 크레이켄의 버그 바운티(Bug Bounty) 프로그램을 통해 중대한 버그를 보고했습니다. 내부 조사 결과, 거래소 보안 팀은 악의적인 행위자가 자신의 크레이켄 계정으로 입금을 시작하고 입금 완료를 받지 않고도 자금을 수령할 수 있는 취약점을 발견했습니다. 이 취약점을 악용한 공격자는 공중에서 수백만 달러를 인쇄할 수 있었습니다.

그는 이렇게 설명했습니다:

“우리는 격리된 버그를 발견했습니다. 이를 통해 악의적인 공격자는 적절한 조건 하에서 플랫폼에 입금을 시작하고 입금 완료를 하지 않고도 계정에 자금을 수령할 수 있었습니다.”

내부 보안 팀은 47분 이내에 문제를 완화하고 몇 시간 후에 완전히 수정했습니다. 그러나 회사는 이 버그가 최근 UX 변경으로 인해 자산이 정산되기 전에 고객 계정에 크레딧이 부여될 수 있었기 때문에 발생했다는 사실을 발견했습니다. 이 변경은 즉시 거래를 가능하게 하기 위해 통합되었지만, 이러한 유형의 위험에 대해 완전히 테스트되지는 않았습니다.

다만 페르코코는 이 사건이 사용자의 자산에는 영향을 미치지 않았으며, 취약점 악용은 크레이켄 자금고에만 영향을 미쳤다고 덧붙였습니다.

보안 연구원들은 범죄자입니다

한편, 취약점 분석 결과 세 개의 계정이 이 결함을 악용했으며, 그중 하나의 계정은 처음에 거래소에 연락한 보안 연구원의 이름으로 등록되어 있었습니다.

함께 읽기: 새로운 EU 규정에 대응하여 크레이켄, USDT 상장 폐지 고려

연구원의 계정은 결함을 사용하여 자신에게 4달러를 크레딧하는 데 그쳤지만, 이는 버그가 실제임을 입증하기에 충분했습니다. 나머지 두 개의 계정은 동일한 취약점을 사용하여 크레이켄 계정에서 거의 300만 달러를 인출했습니다. 흥미롭게도 이 계정들은 보안 연구원의 동조자들과 연관되어 있었습니다.

크레이켄은 자금 반환을 위한 시도가 실패했다고 설명하며, 연구원들이 이제 버그의 위험에 상응한다고 생각하는 더 높은 금액을 요구하고 있다고 밝혔습니다.

페르코코는 이를 협박으로 묘사하며, 버그 바운티 프로그램의 원칙에 위배된다고 지적했습니다. 그는 화이트 해트 해커에게 해킹을 허가하는 규칙을 위반하는 것이 보안 연구원들을 범죄자로 만들며, 거래소는 그들을 그렇게 취급하고 있다고 덧붙였습니다.