Злоумышленники похитили с Kraken около $3 млн
Торговая платформа Kraken была взломана. Пресс-служба биржи сообщила, что с ее кошельков было выведено около $3 млн из-за ошибки безопасности. Проблема уже устранена сотрудниками специализированного отдела площадки.
По словам директора службы безопасности Kraken Ника Перкоко, 9 июня криптовалютная биржа получила предупреждение по программе вознаграждений за ошибки. Стало известно о «чрезвычайно критической» уязвимости, позволяющей злоумышленнику искусственно завышать баланс активов на платформе.
Специалисты изучили данную проблему и обнаружили ошибку. Она давала возможность инициировать депозит на платформе и получать средства на счет, не завершая ввод средств. Эксперт отметил, что такой сценарий происходил только при определенных обстоятельствах.
По его словам, ошибка возникла из-за недавнего изменении пользовательского интерфейса, которое кредитовало счета клиентов до того, как «депозиты активов были полностью очищены». «Это позволяло злоумышленнику эффективно «печатать активы» в своей учетной записи Kraken», — сказал Перкоко.
Он подчеркнул, что ошибка была полностью исправлена в течение нескольких часов. Однако, дальнейшее расследование показало, что этот баг использовали 3 аккаунта с разницей в несколько дней. Сообщается, что одна из учетных записей принадлежала хакеру «белой шляпы», который и сообщил об уязвимости. Этот человек успешно прошел процедуру подтверждения личности (KYC) на площадке и воспользовался багом, чтобы пополнить свой счет на $4. Этого было вполне достаточно, чтобы доказать наличие ошибки и подать отчет для получения награды .
Однако представитель Kraken заявил, что исследователь сообщил об ошибке ещё 2 людям. Они вывели с площадки средства на сумму почти $3 млн. «Это были криптовалюты их казначейства Kraken, а не клиентские активы», — пояснил Перкоко.
Представители площадки запросили у злоумышленников возврат средств. Однако они отказались возвращать токены до тех пор, пока Kraken не раскроет потенциальный размер эксплойта. «Это не хакерство, а уже вымогательство» — возмутился Перкоко.
