CGD - Crypto Government Department logo CGD - Crypto Government Department logo
Forklog 2024-06-19 14:46:30

Баг-хантеры вывели $3 млн с Kraken благодаря «экстремально критической» уязвимости

Криптобиржа Kraken устранила опасный эксплойт, который позволял искусственно завысить, а затем опустошить пользовательский баланс.  Kraken Security Update:On June 9 2024, we received a Bug Bounty program alert from a security researcher. No specifics were initially disclosed, but their email claimed to find an “extremely critical” bug that allowed them to artificially inflate their balance on our platform.— Nick Percoco (@c7five) June 19, 2024 По словам директора по безопасности торговой платформы Ника Перкоко, 9 июня компания получила отчет об уязвимости в рамках программы Bug Bounty.  Исследователь выявил «экстремально критическую» ошибку, однако не сообщил никаких подробностей, рассказал топ-менеджер.  «Через несколько минут мы обнаружили изолированный баг. Он позволял злоумышленникам при определенных обстоятельствах инициировать депозит на нашу платформу и получить средства на свой счет, не завершив транзакцию полностью», — объяснил Перкоко.  Команда Kraken устранила уязвимость примерно за час, проведя анализ последствий. Глава отдела по безопасности заверил, что средства пользователей не пострадали.  Однако биржа обнаружила три аккаунта, которые успели воспользоваться эксплойтом. Одна учетная запись с KYC принадлежала пользователю, сообщившему о баге через Bug Bounty.  «Этот человек обнаружил ошибку в нашей системе депозитов и воспользовался ею, чтобы пополнить свой счет на $4 в криптовалюте. Этого было бы достаточно, чтобы доказать ошибку, отправить нашей команде отчет и получить весьма значительное вознаграждение в соответствии с условиями нашей программы», — отметил Перкоко.  Однако пользователь раскрыл эксплойт двум другим сообщникам, заявил представитель Kraken. В конечном итоге они с помощью уязвимости вывели около $3 млн, принадлежащих казначейству биржи.  После этого торговая платформа запросила полный отчет об ошибке у исследователей, которые оказались неназванной аналитической фирмой по безопасности. Однако они отказались делиться данными и запросили больше денег в качестве награды. «Они потребовали звонка своей команде по развитию бизнеса (т. е. своим торговым представителям) и не согласились вернуть какие-либо средства, пока мы не отправим им определенную сумму в долларах, которая бы отражала потенциальный ущерб от раскрытия эксплойта. Это не хакерство, это вымогательство», — написал глава киберзащиты Kraken. Ранее биржа OKX раскрыла подробности о серии взломов учетных записей. По данным платформы, хакер подделывал документы и обходил дополнительные механизмы безопасности вроде двухфакторной аутентификации (2FA).  Напомним, 3 июня стало известно, что злоумышленник получил контроль над аккаунтом китайского трейдера на Binance, не имея пароля и доступа к 2FA. После ряда сделок он вывел активы на $1 млн. https://forklog.com/news/chereda-vzlomov-ataka-na-holograph-fejk-birzha-i-nagrada-ot-uwu-lend

Διαβάστε την Αποποίηση Ευθυνών : Όλο το περιεχόμενο που παρέχεται εδώ στον ιστότοπό μας, τους υπερσυνδεδεμένους ιστότοπους, τις σχετικές εφαρμογές, τα φόρουμ, τα ιστολόγια, τους λογαριασμούς κοινωνικών μέσων και άλλες πλατφόρμες (“Site”) προορίζεται μόνο για τις γενικές πληροφορίες σας, που προέρχονται από τρίτες πηγές. Δεν κάνουμε καμία εγγύηση οποιουδήποτε είδους σε σχέση με το περιεχόμενό μας, συμπεριλαμβανομένης ενδεικτικά της ακρίβειας και της ενημέρωσης. Κανένα μέρος του περιεχομένου που παρέχουμε δεν αποτελεί οικονομική συμβουλή, νομική συμβουλή ή οποιαδήποτε άλλη μορφή συμβουλών που προορίζεται για τη συγκεκριμένη εμπιστοσύνη σας για οποιονδήποτε σκοπό. Οποιαδήποτε χρήση ή εξάρτηση από το περιεχόμενό μας είναι αποκλειστικά με δική σας ευθύνη και διακριτική ευχέρεια. Πρέπει να πραγματοποιήσετε τη δική σας έρευνα, να ελέγξετε, να αναλύσετε και να επαληθεύσετε το περιεχόμενό μας προτού βασιστείτε σε αυτά. Η διαπραγμάτευση είναι μια εξαιρετικά επικίνδυνη δραστηριότητα που μπορεί να οδηγήσει σε μεγάλες απώλειες, επομένως συμβουλευτείτε τον οικονομικό σας σύμβουλο πριν λάβετε οποιαδήποτε απόφαση. Κανένα περιεχόμενο στον ιστότοπό μας δεν προορίζεται να είναι παράκληση ή προσφορά