- Kraken 存在严重漏洞，使不法分子能够凭空印钞。
- 安全研究人员向交易所报告了该漏洞，但索要的报酬超过了最高悬赏金额。
- Kraken 表示，这些研究人员的行为具有犯罪性质，并已通知执法部门。
美国交易所 Kraken 的金库损失了近 300 万美元，因为一家未具名的安全公司利用其平台上的漏洞进行了攻击。首席安全官 Nick Percoco， 披露 他在 X 上的一篇文章中披露了这一情况，表示该安全公司拒绝归还资金，并要求更高的赏金作为回报。
延伸阅读： 加密货币交易所DMM Bitcoin承诺在遭受300M美元黑客攻击后偿还用户
作为回应，Kraken 已将此事升级至执法机构，并将其视为刑事案件。然而，用户无需担心，因为该交易所声称已解决该漏洞，且没有任何用户账户受到影响。
Kraken 漏洞允许“印钞”
据 Percoco 称，一名安全研究人员于 6 月 9 日通过 Kraken 的 Bug Bounty 计划向其报告了一个关键漏洞。经过内部调查，交易所安全团队发现了一个漏洞，允许不良行为者向其 Kraken 账户发起存款，并在未完成存款的情况下收到资金。恶意攻击者可以通过此漏洞凭空打印数百万美元。
他解释道：
“我们发现了一个孤立的漏洞。这使得恶意攻击者在适当的情况下，能够向我们平台发起存款，并在未完全完成存款的情况下在其账户中收到资金。”
内部安全团队在 47 分钟内缓解了该问题，并在几小时后完全修复了它。然而，该公司发现该漏洞源于其 UX 的最近更改，该更改允许在资产清算之前向客户账户贷记资金。虽然这一更改是为了实现即时交易而集成的，但并未针对此类风险进行充分测试。
不过，Percoco 补充说，该事件并未影响用户的资产，且该漏洞的利用仅影响了 Kraken 的金库。
安全研究人员是罪犯
与此同时，对漏洞的分析发现，有三个账户利用了该缺陷，其中一个账户是以最初联系交易所的安全研究人员的名字注册的。
延伸阅读： Kraken 考虑因应欧盟新规下架 USDT
虽然该研究人员的账户仅利用该缺陷为自己贷记了 4 美元，足以证明漏洞属实，但另外两个账户使用相同的漏洞从他们的 Kraken 账户中提走了近 300 万美元。有趣的是，这些账户与安全研究人员的关联人士有关。
Kraken 解释说，他们试图追回资金的尝试徒劳无功，因为研究人员现在要求更高的付款，他们认为这与漏洞的风险相称。
Percoco 将此描述为勒索行为，这与 Bug Bounty 计划背后的原则相矛盾。他补充说，违反赋予白帽黑客黑客许可的那些规则，使安全研究人员成为罪犯，交易所正将其视为罪犯处理。
最聪明的加密领域人士已经在阅读我们的通讯。想加入吗？加入他们。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
