CertiK объясняет позицию этического хакинга, Kraken признает полный возврат средств
- Действия CertiK вызвали недоумение в крипто-сообществе: $3 млн были заморожены на несколько дней до того, как об уязвимости стало известно Kraken.
- Команда безопасности Kraken признала свою ошибку и подтвердила точность отчёта CertiK о взломе.
- Tornado Cash продолжает функционировать, несмотря на санкции против граждан США.
CertiK, компания по безопасности смарт-контрактов, продолжает утверждать, что ее действия против биржи Kraken были этичными и что она пыталась оценить полный объем уязвимостей безопасности. Тестировщики также заявляют, что вернули все средства в натуральной форме и не вымогали деньги у Kraken.
Команда CertiK разработала новое заявление, чтобы опровергнуть некоторые предыдущие утверждения Kraken. Тестировщики отвергли требования о вознаграждении, заявив, что их приоритетом было устранение уязвимости, позволяющей создавать средства на счете.
Читать: Kraken возвращает $3M по мере роста критики в адрес Certik
Все выведенные средства поступили из холодных кошельков Kraken, и счета пользователей не пострадали. Монеты были возвращены на основе собственных расчетов и записей транзакций CertiK.
Самым противоречивым действием CertiK стали записи о переводе части средств в Tornado Cash. Миксер криптовалют ранее сталкивался с санкции со стороны Министерства финансов США, которое запретило лицам, проживающим в США, взаимодействовать с ним.
CertiK хорошо осведомлена об использовании Tornado Cash и включила переводы в качестве доказательства своей эксплуатации. Ранее CertiK также отслеживала использование Tornado Cash в рамках более старых уязвимостей. Одним из главных направлений деятельности Certik остается аудит смарт-контрактов, которые часто содержат схожие логические ошибки, приводящие к неограниченному созданию токенов.
Подход CertiK к этичному взлому вызвал обеспокоенность наблюдателей, так как небольшие суммы напрямую переводились в Tornado Cash для проверки уязвимости. Некоторые шаги в процессе тестирования Kraken были утекли в социальные сети до того, как Kraken наконец уведомил их о реальном масштабе уязвимости.
Вопрос о вознаграждении за обнаружение уязвимостей (bug bounty) не обсуждался, но CertiK продолжает утверждать, что не требовала вознаграждения за возврат средств. До сих пор команда безопасности Kraken не объявляла о каком-либо вознаграждении для CertiK.
Kraken подтверждает получение всех средств
CertiK создала балансы на централизованной платформе Kraken и выполнила выводы средств от имени этих счетов.
Утверждения Kraken о неточности возвратов со стороны CertiK были самыми противоречивыми. Однако несколько дней спустя это было опровергнуто. Главный специалист по безопасности Kraken Ник Перкоко объявил, что средства были полностью возвращены за вычетом комиссий за транзакции.
Отчетность CertiK указывала на выводы только ETH, USDT и XMR, в то время как Kraken также утверждал, что было выведено и смешано 155 818,44 MATIC. Объем выводов оценивался примерно в 3 млн долларов, хотя Certik использовала небольшую сумму для доказательства уязвимости.
Дальнейший анализ уязвимости показал, что CertiK создала несуществующие балансы MATIC, но транзакции не прошли, и средства не покинули холодные кошельки Kraken. Сгенерированные MATIC были лишь внутренней уязвимостью, не приведшей к переводу реальных токенов Polygon.
В некоторых случаях наличие средств может быть симулировано, так как другие протоколы подвергались атакам с использованием флеш-кредитов.
CertiK утверждала, что эксплуатаций возобновилась в июне, когда из приложений и протоколов было выведено более 30 млн долларов. В эту статистику не входят атаки на отдельные кошельки.
Tornado Cash все еще работает спустя годы после санкций
Миксер Tornado Cash все еще способствует эксплуатации уязвимостей, так как средства становятся неотслеживаемыми после прохождения через миксер. Даже после блокировки кошельков и адресов ничто не мешает хакерам смешивать ETH и отправлять его на новые неизвестные кошельки.
Также читайте: Группа, стоящая за судебным иском против Tornado Cash, проиграла Министерству финансов США
С 2022 года у Tornado Cash были ограниченные ресурсы, но сервис все еще работает.
Основатель Tornado Cash Алексей Перцев получил приговор в мае 2024 года, с возможностью заключения на несколько лет. Однако санкции и запреты не мешают никому использовать миксер, что не затрагивает юрисдикции за пределами США.
Некоторые монеты, такие как USDC, заблокировали все контракты Tornado Cash. Любые средства, отправленные на такой контракт, не могут быть возвращены. USDC также известен своей централизованной возможностью замораживать монеты. Для Kraken возможность вывода на адрес контракта Tornado Cash также была серьезной уязвимостью. Большинство эмитентов токенов предпочитают не осуществлять контроль над токенами, оставляя их уязвимыми для кражи и невозвратными через микширование.
Материал Cryptopolitan, автор Христина Василева
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Христина Василева
Христина Василева специализируется на новостях из сферы DeFi, бизнеса и экономики. Она получила степень магистра философии в Софийском университете после четырехлетнего обучения по специальности «Бизнес-администрирование, журналистика и массовые коммуникации». Она работала в одной из ведущих газет страны, освещая вопросы сырьевых товаров и корпоративных финансовых результатов. В настоящее время Христина является внештатным автором новостей в Cryptopolitan.
