Kraken раскрыла уязвимость, позволявшую злоумышленникам под видом «исследователей безопасности» похитить 3 млн долларов

Американская биржа Kraken потеряла почти 3 миллиона долларов из своего казначейства после того, как неназванная компания-исследователь безопасности воспользовалась уязвимостью на её платформе. Главный офицер безопасности Ник Перкоко, сообщила об этом в посте в X, заявив, что компания отказалась вернуть средства и теперь требует более высокую выплату в качестве вознаграждения.

Также читайте: Криптобиржа DMM Bitcoin обязуется возместить пользователям ущерб после взлома на $300M

В ответ Kraken передала дело правоохранительным органам и квалифицировала его как уголовное преступление. Однако пользователям не стоит беспокоиться: биржа утверждает, что уязвимость уже устранена и ни один пользовательский аккаунт не был затронут.

Уязвимость Kraken позволяла печатать деньги

По словам Перкоко, исследователь безопасности уведомил Kraken о критической уязвимости через программу Bug Bounty 9 июня. В ходе внутреннего расследования команда безопасности биржи обнаружила уязвимость, которая позволяла злоумышленнику инициировать депозит на свой аккаунт Kraken и получить средства без завершения операции депозита. Злоумышленник мог таким образом печатать миллионы из воздуха.

Он пояснил:

«Мы обнаружили изолированную уязвимость. При определённых обстоятельствах это позволяло злоумышленнику инициировать депозит на нашей платформе и получать средства на свой счёт, не завершая процесс депозита полностью.»

Внутренняя команда безопасности устранила проблему в течение 47 минут и полностью исправила её через несколько часов. Однако компания выяснила, что уязвимость возникла из-за недавнего изменения в пользовательском интерфейсе, которое позволяло зачислять средства на счета клиентов до завершения их поступления. Хотя изменение было внедрено для обеспечения мгновенной торговли, оно не было полностью протестировано на предмет подобных рисков.

Однако Перкоко добавил, что инцидент не затронул активы пользователей, а эксплуатация уязвимости коснулась только казны Kraken.

Исследователи кибербезопасности являются преступниками

Между тем анализ уязвимости показал, что три аккаунта использовали эту ошибку, и один из них был зарегистрирован на имя исследователя кибербезопасности, который первоначально сообщил об этом бирже.

Также читайте: Kraken рассматривает вопрос о делистинге USDT в ответ на новые регуляции ЕС

Хотя аккаунт исследователя использовал уязвимость лишь для зачисления себе $4 — суммы, достаточной для подтверждения реальности бага, два других аккаунта вывели почти $3 млн со своих счетов Kraken, используя ту же уязвимость. Примечательно, что эти аккаунты были связаны с соратниками исследователя кибербезопасности.

Kraken пояснила, что её попытки вернуть средства оказались безрезультатными, поскольку исследователи теперь требуют более высокую сумму, которую они считают соразмерной риску, связанному с уязвимостью.

Перкоко охарактеризовал это как вымогательство, что противоречит принципу программы Bug Bounty. Он добавил, что нарушение правил, дающих белым хакерам право на взлом, превращает исследователей безопасности в преступников, и биржа относится к ним именно так.