Новость

Исследователи взломали биржу Kraken и украли криптовалюту на $3 миллиона

Исследователи взломали биржу Kraken и украли криптовалюту на $3 миллиона

Citizen Sec

@CitizenSec , 26-06-2024

Новость
#Информационная безопасность
#Критическая уязвимость
Исследователи взломали биржу Kraken и украли криптовалюту на $3 миллиона

Подробности инцидента были опубликованы главным специалистом по безопасности Kraken, Ником Перко, на платформе X (ранее Twitter). Он сообщил, что исследователь сообщил об уязвимости, которая позволяла ему искусственно увеличивать баланс на платформе, не предоставив других подробностей.


Компания заявила, что обнаружила проблему безопасности в течение нескольких минут после получения уведомления. Уязвимость позволяла злоумышленнику "начать депозит на платформе и получить средства на свой счёт, не завершив полностью процесс депозита".

Kraken подчеркнул, что активы клиентов не были под угрозой, но проблема могла позволить злоумышленнику создавать активы на своих счетах. Проблема была решена в течение 47 минут.


Также было установлено, что уязвимость возникла из-за недавнего изменения пользовательского интерфейса, которое позволяло клиентам вносить средства и использовать их до окончательного зачисления.


В ходе дальнейшего расследования выяснилось, что три аккаунта, включая один, принадлежащий предполагаемому исследователю по безопасности, воспользовались уязвимостью в течение нескольких дней и вывели $3 миллиона.


Перко сообщил, что исследователь обнаружил баг в системе финансирования и использовал его, чтобы зачислить на свой счёт $4 в криптовалюте. Этого было бы достаточно, чтобы доказать существование уязвимости и подать отчёт о баге, получив значительное вознаграждение по программе bug bounty. Вместо этого исследователь передал информацию о баге двум другим людям, которые сгенерировали гораздо большие суммы. В итоге они вывели почти $3 миллиона из казначейства Kraken, а не из активов клиентов.


Когда Kraken связался с исследователем, чтобы получить доказательства использования уязвимости и договориться о возврате средств, тот потребовал от компании связаться с их отделом бизнес-развития и заплатить определённую сумму для возврата активов.


"Это не белая хакерская деятельность, это вымогательство", - заявил Перко, призывая вернуть украденные средства. Имя компании не разглашается, но Kraken рассматривает этот инцидент как уголовное дело и координируется с правоохранительными органами по этому вопросу.


"Как исследователь по безопасности, ваше право 'взламывать' компанию определяется простыми правилами программы bug bounty", - отметил Перко. "Игнорирование этих правил и вымогательство компании лишает вас права на взлом. Это делает вас и вашу компанию преступниками".

Вам также будет интересно

Новость
#Информационная безопасность

Вредоносные пакеты npm заражают разработчиков SSH-бэкдором

В npm обнаружены вредоносные пакеты, маскирующиеся под популярный пакет ethers.

@CitizenSec

28-10-2024
Новость
#Информационная безопасность

Новая атака позволяет хакерам откатывать Windows для взлома через закрытые уязвимости

Опубликована новая атака под названием 'Windows Downdate', которая позволяет взламывать Windows 11, понизив версию системных компонентов и используя старые уязвимости.

@CitizenSec

26-10-2024
Новость
#Информационная безопасность

Интернет-архив снова взломан

Интернет-архив (Archive.org) столкнулся со второй утечкой данных в октябре 2024 года, когда хакеры получили доступ к служебным билетам через незащищенные токены API Zendesk.

@CitizenSec

22-10-2024
Новость
#Информационная безопасность

Троян TrickMo: как фишинг атакует ваши телефоны и что вам нужно знать, чтобы защитить себя от этой угрозы?

Этот вредоносный софт использует хитрые методы, чтобы обмануть пользователей, показывая поддельный экран разблокировки.

@CitizenSec

20-10-2024
Новость
#Информационная безопасность

Как системные утилиты Windows становятся инструментом обхода защиты и угрожают вашей безопасности

Злоумышленники начали свои атаки в начале октября, и их целью является установка программы Lumma для кражи данных.

@CitizenSec

17-10-2024
Новость
#Информационная безопасность

Как GitHub, Telegram-боты и QR-коды становятся орудиями новой волны фишинговых атак

Злоумышленники используют ссылки на GitHub в фишинговых письмах, чтобы обойти меры безопасности и доставить вредоносное ПО под названием Remcos RAT.

@CitizenSec

14-10-2024
Новость
#Информационная безопасность

В Санкт-Петербурге пойманы мошенники: как они украли аккаунты и что за этим последовало?

Сотрудники уголовного розыска Петербурга задержали двух злоумышленников, которые взламывали учетные записи на портале Госуслуг и оформляли кредиты в микрофинансовых организациях.

@CitizenSec

14-10-2024
Новость
#Информационная безопасность

22 000 пакетов PyPI под угрозой: как проблема Revival Hijack может повлиять на безопасность вашего кода

Аналитики компании JFrog обнаружили новую угрозу, названную Revival Hijack.

@CitizenSec

18-09-2024
Новость
#Информационная безопасность

Казахстан в тройке лидеров дарквеба СНГ: что скрывается за завесой тайны и какие товары продаются в тени?

Недавнее исследование показало, что Республика Казахстан занимает второе место по количеству кибератак в странах СНГ, с 8% от общего числа.

@CitizenSec

16-09-2024
Новость
#Критическая уязвимость
#Информационная безопасность

Уязвимость Microsoft Copilot Studio

Эта уязвимость, известная как SSRF (server-side request forgery), могла позволить злоумышленникам получить доступ к конфиденциальным данным.

@CitizenSec

09-09-2024