Исследователи взломали биржу Kraken и украли криптовалюту на $3 миллиона

Подробности инцидента были опубликованы главным специалистом по безопасности Kraken, Ником Перко, на платформе X (ранее Twitter). Он сообщил, что исследователь сообщил об уязвимости, которая позволяла ему искусственно увеличивать баланс на платформе, не предоставив других подробностей.

Компания заявила, что обнаружила проблему безопасности в течение нескольких минут после получения уведомления. Уязвимость позволяла злоумышленнику "начать депозит на платформе и получить средства на свой счёт, не завершив полностью процесс депозита".

Kraken подчеркнул, что активы клиентов не были под угрозой, но проблема могла позволить злоумышленнику создавать активы на своих счетах. Проблема была решена в течение 47 минут.

Также было установлено, что уязвимость возникла из-за недавнего изменения пользовательского интерфейса, которое позволяло клиентам вносить средства и использовать их до окончательного зачисления.

В ходе дальнейшего расследования выяснилось, что три аккаунта, включая один, принадлежащий предполагаемому исследователю по безопасности, воспользовались уязвимостью в течение нескольких дней и вывели $3 миллиона.

Перко сообщил, что исследователь обнаружил баг в системе финансирования и использовал его, чтобы зачислить на свой счёт $4 в криптовалюте. Этого было бы достаточно, чтобы доказать существование уязвимости и подать отчёт о баге, получив значительное вознаграждение по программе bug bounty. Вместо этого исследователь передал информацию о баге двум другим людям, которые сгенерировали гораздо большие суммы. В итоге они вывели почти $3 миллиона из казначейства Kraken, а не из активов клиентов.

Когда Kraken связался с исследователем, чтобы получить доказательства использования уязвимости и договориться о возврате средств, тот потребовал от компании связаться с их отделом бизнес-развития и заплатить определённую сумму для возврата активов.

"Это не белая хакерская деятельность, это вымогательство", - заявил Перко, призывая вернуть украденные средства. Имя компании не разглашается, но Kraken рассматривает этот инцидент как уголовное дело и координируется с правоохранительными органами по этому вопросу.

"Как исследователь по безопасности, ваше право 'взламывать' компанию определяется простыми правилами программы bug bounty", - отметил Перко. "Игнорирование этих правил и вымогательство компании лишает вас права на взлом. Это делает вас и вашу компанию преступниками".