Kraken revela bug que permitiu que 'pesquisadores de segurança' mal-intencionados explorassem $3M
- Bug crítico na Kraken permite que agentes maliciosos criem dinheiro do nada.
- Pesquisador de segurança alerta a corretora sobre vulnerabilidade e deseja mais do que o prêmio máximo.
- A Kraken afirmou que as ações dos pesquisadores foram de natureza criminal e está alertando as autoridades.
A exchange baseada nos EUA Kraken perdeu quase US$ 3 milhões em seu tesouro após uma empresa de segurança não identificada explorar um bug em sua plataforma. O diretor de segurança, Nick Percoco, divulgou isso em uma publicação no X, afirmando que a empresa de segurança se recusou a devolver os fundos e agora está exigindo um pagamento maior como recompensa.
Também leia: Exchange de Criptomoedas DMM Bitcoin Promete Reembolsar Usuários Após Hack de US$ 300M
Em resposta, a Kraken escalou o assunto para as agências de aplicação da lei e o tratará como crime. No entanto, os usuários não precisam se preocupar, pois a exchange afirma que já resolveu a vulnerabilidade e nenhuma conta de usuário foi impactada.
Bug da Kraken permite impressão de dinheiro
De acordo com Percoco, um pesquisador de segurança alertou a Kraken sobre um bug crítico por meio de seu programa Bug Bounty em 9 de junho. Após investigações internas, a equipe de segurança da exchange descobriu uma vulnerabilidade que poderia permitir que um ator mal-intencionado iniciasse um depósito em sua conta na Kraken e recebesse os fundos sem concluir o depósito. Um atacante malicioso poderia imprimir milhões do nada por meio dessa exploração.
Ele explicou:
“Descobrimos um bug isolado. Isso permitiu que um atacante mal-intencionado, sob as circunstâncias certas, iniciasse um depósito em nossa plataforma e recebesse fundos em sua conta sem concluir totalmente o depósito.”
A equipe de segurança interna mitigou o problema em 47 minutos e o corrigiu completamente após algumas horas. No entanto, a empresa descobriu que o bug resultou de uma alteração recente em sua UX que permitia que contas de clientes fossem creditadas antes que seus ativos fossem liquidados. Embora a alteração tenha sido integrada para permitir negociações instantâneas, ela não foi totalmente testada contra esse tipo de risco.
No entanto, Percoco acrescentou que o incidente não afetou os ativos dos usuários, e as explorações da vulnerabilidade afetaram apenas o tesouro da Kraken.
Os pesquisadores de segurança são criminosos
Enquanto isso, uma análise da vulnerabilidade descobriu que três contas exploraram a falha, e uma dessas contas foi registrada em nome do pesquisador de segurança que inicialmente entrou em contato com a exchange.
Também leia: Kraken Considera Deslistar o USDT em Resposta a Novas Regulamentações da UE
Embora a conta do pesquisador tenha usado a falha apenas para se creditar US$ 4, o suficiente para provar que o bug era real, as outras duas contas retiraram quase US$ 3 milhões de suas contas na Kraken usando a mesma exploração. Curiosamente, essas contas estavam associadas a associados do pesquisador de segurança.
A Kraken explicou que suas tentativas de recuperar os fundos foram infrutíferas, pois os pesquisadores agora estão pedindo um pagamento maior que acreditam ser proporcional ao risco do bug.
Percoco descreveu isso como um ato de extorsão, o que contradiz o princípio por trás do programa Bug Bounty. Ele acrescentou que violar essas regras que dão aos hackers de chapéu branco a licença para hackear torna os pesquisadores de segurança criminosos, e a exchange os está tratando como tal.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
