CertiK explica sua postura de hacking ético, Kraken admite devolução total dos fundos
- As ações da Certik deixaram a comunidade cripto confusa, pois US$ 3 milhões em fundos foram retidos por dias antes que o exploit fosse comunicado à Kraken.
- A equipe de segurança da Kraken admitiu ter cometido um erro e reconheceu a precisão da contabilidade do exploit realizada pela CertiK.
- Tornado Cash continua funcionando apesar de ser sancionado para pessoas nos EUA.
A CertiK, a empresa de segurança de contratos inteligentes, continua a afirmar que suas ações contra a exchange Kraken foram éticas e que estava tentando estimar o escopo completo das falhas de segurança. Os testadores também afirmam que devolveram todos os fundos em espécie e não extorquiram a Kraken.
A equipe da CertiK desenvolveu uma nova declaração para refutar algumas reivindicações anteriores da Kraken. Os testadores negaram pedidos de recompensa, afirmando que sua prioridade era corrigir a vulnerabilidade de poder imprimir fundos em uma conta.
Leia: Kraken recupera 3M à medida que a crítica se monta contra a Certik
Todos os fundos retirados vieram das carteiras frias da Kraken, e nenhuma conta de usuário foi afetada. As moedas foram devolvidas com base nos próprios cálculos e registros de transações da CertiK.
A ação mais controversa da CertiK incluiu registros de envio de alguns fundos para a Tornado Cash. O misturador de moedas enfrentou anteriormente sanções do Departamento do Tesouro dos EUA, que proibiu pessoas domiciliadas nos EUA de interagir com ele.
A CertiK está bem ciente do uso da Tornado Cash e incluiu as transferências como prova de sua exploração. Anteriormente, a CertiK também rastreou o uso da Tornado Cash como parte de explorações mais antigas. Um dos principais focos da Certik permanece a auditoria de contratos inteligentes, que frequentemente contêm falhas de lógica semelhantes levando à criação ilimitada de tokens.
A abordagem da CertiK para hacking ético deixou os observadores nervosos, pois pequenas somas foram enviadas diretamente para a Tornado Cash para testar a exploração. Alguns passos no processo de teste da Kraken foram vazados nas redes sociais antes que a Kraken finalmente a notificasse do tamanho real da exploração.
A questão de uma recompensa por bug não foi discutida, mas a CertiK continua a afirmar que não precisava de uma recompensa para devolver os fundos. Até agora, a equipe de segurança da Kraken não anunciou nenhuma recompensa para a CertiK.
Kraken admite ter recebido todos os fundos
A CertiK gerou saldos na plataforma centralizada Kraken e realizou retiragens em nome dessas contas.
As alegações da Kraken de que a CertiK foi imprecisa em suas devoluções foram as mais controversas. No entanto, isso foi refutado alguns dias depois. O Diretor de Segurança da Kraken, Nick Percoco, anunciou que os fundos foram totalmente devolvidos, menos as taxas de transação.
A contabilidade da CertiK relatou retiradas de apenas ETH, USDT e XMR, enquanto a Kraken também alegou que 155.818,44 MATIC foram retirados e misturados. As retiradas foram estimadas em cerca de US$ 3M, embora a Certik tenha usado uma pequena soma para provar a exploração.
Uma análise mais aprofundada da exploração mostrou que a CertiK gerou saldos de MATIC inexistentes, mas as transações falharam e nenhum fundo saiu das carteiras frias da Kraken. O MATIC gerado foi apenas uma exploração interna que não resultou na transferência de tokens Polygon reais.
Em alguns casos, a presença de fundos pode ser simulada, pois outros protocolos foram atacados com empréstimos flash.
A CertiK afirmou que explorações retomou em junho, com mais de US$ 30 milhões retirados de aplicativos e protocolos. A contagem não inclui ataques contra carteiras individuais.
Tornado Cash ainda está operacional anos após as sanções
O misturador Tornado Cash ainda está facilitando explorações, pois os fundos são irrastreáveis após passarem pelo misturador. Mesmo após o bloqueio de carteiras e endereços, nada impede que hackers misturem ETH e os enviem para novas carteiras desconhecidas.
Também leia: Grupo por trás da ação judicial da Tornado Cash perde contra o Tesouro dos EUA
Desde 2022, a Tornado Cash tem recursos limitados, mas o serviço ainda está operacional.
O fundador da Tornado Cash, Alexey Pertsev, recebeu uma sentença em maio de 2024, com anos potenciais de prisão. No entanto, as sanções e proibições não impedem ninguém de usar o misturador, o que não afeta jurisdições fora dos EUA.
Algumas moedas, como o USDC, bloquearam todos os contratos da Tornado Cash. Qualquer fundo enviado para o contrato não pode ser recuperado novamente. O USDC também é conhecido por sua capacidade centralizada de congelar moedas. Para a Kraken, a capacidade de retirar para um endereço de contrato da Tornado Cash também foi uma grande vulnerabilidade. A maioria dos produtores de tokens escolhe não exercer controle sobre os tokens, deixando-os vulneráveis a roubo e irrecuperáveis através da mistura.
Reportagem do Cryptopolitan por Hristina Vasileva
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hristina Vasileva
Hristina Vasileva especializa-se em notícias sobre DeFi, negócios e economia. Formou-se na Universidade de Sofia com mestrado em Filosofia, após concluir graduação de 4 anos em Administração de Empresas, Jornalismo e Comunicação de Massa. Trabalhou em um dos principais jornais do país, cobrindo commodities e resultados corporativos. Atualmente, Hristina é autora contribuinte de notícias na Cryptopolitan.
