Kraken sfruttata per quasi 3 milioni di dollari a causa di un bug
Kraken, un noto exchange di criptovalute, ha recentemente rivelato che un bug consentiva alle persone di depositare denaro sui propri conti senza effettivamente completare il deposito. Questo bug è stato sfruttato per quasi 3 milioni di dollari dalle casseforti di Kraken prima di essere corretto. Il Chief Security Officer (CSO) di Kraken ha condiviso i dettagli su questo incidente.
Scoperta del bug
Il 9 giugno, il programma di ricompensa per bug di Kraken ha ricevuto un avviso su un bug “estremamente critico”. Questo avviso è stato inviato da un ricercatore di sicurezza che ha notato una grave falla. Secondo il CSO di Kraken, Nick Percoco, questo bug consentiva a qualcuno di gonfiare artificialmente il saldo del proprio account. Ciò significava che poteva avviare un deposito e ricevere fondi senza completare il processo di deposito.
Come funzionava il bug
Il bug era dovuto a una recente modifica nella progettazione dell’esperienza utente (UX) della piattaforma di Kraken. La falla ha reso possibile l’accredito degli account prima che i depositi di asset fossero completamente compensati. Ciò ha consentito agli aggressori di “stampare asset” temporaneamente sui propri account. Tuttavia, Percoco ha assicurato che nessun asset del cliente era a rischio; il problema riguardava i fondi propri del tesoro di Kraken.
Sfruttamento prima della correzione
Kraken ha rapidamente corretto il bug entro poche ore dall’avviso. Tuttavia, un’indagine ha rivelato che tre account avevano già sfruttato il bug nel giro di pochi giorni. Uno di questi account apparteneva al ricercatore di sicurezza che aveva trovato il bug. Questo individuo ha affermato di aver testato la falla accreditando il proprio account con 4 dollari. Ha quindi presentato un rapporto di ricompensa per bug e richiesto una ricompensa.
Sfruttamento più ampio da parte di associati
La situazione è diventata più seria quando è stato scoperto che il ricercatore aveva condiviso il bug con altri due individui. Queste persone hanno utilizzato il bug per prelevare importi molto più grandi, quasi 3 milioni di dollari in totale, dalle casseforti di Kraken. Percoco ha chiarito che questo denaro proveniva dai fondi di Kraken, non dagli asset dei clienti.
Risposta di Kraken
Kraken ha chiesto ai ricercatori di restituire i fondi e di fornire un resoconto completo delle loro attività. Tuttavia, i ricercatori si sono rifiutati di restituire il denaro a meno che Kraken non rivelasse la potenziale entità dello sfruttamento. Percoco ha etichettato questa richiesta come estorsione, affermando che non era un atto di hackeraggio etico.
Azioni legali e misure di sicurezza
A causa della violazione dei suoi termini di ricompensa per bug, Kraken ha deciso di trattare il caso come penale. Hanno scelto di non divulgare il nome della società di ricerca coinvolta, ritenendo che non meritasse riconoscimento. Invece, Kraken si è coordinata con le forze dell’ordine per gestire la situazione.
Importanza dei programmi di ricompensa per bug
Questo incidente sottolinea l’importanza dei programmi di ricompensa per bug nell’identificare e correggere le vulnerabilità. I programmi di ricompensa per bug sono progettati per premiare i ricercatori che trovano e segnalano bug. Tuttavia, mostra anche i potenziali rischi quando i ricercatori non seguono le linee guida etiche.
Protezione degli exchange di criptovalute
Gli exchange di criptovalute come Kraken devono migliorare costantemente le proprie misure di sicurezza per proteggersi da tali sfruttamenti. Ciò include test approfonditi di nuove funzionalità e una risposta rapida a qualsiasi problema segnalato. In questo modo, possono proteggere le proprie piattaforme e mantenere la fiducia dei propri utenti.
Il recente incidente di sfruttamento di bug di Kraken serve come promemoria delle sfide affrontate dagli exchange di criptovalute. Con quasi 3 milioni di dollari prelevati dalle sue casseforti, Kraken ha agito rapidamente per correggere il bug e ora sta intraprendendo azioni legali contro i responsabili. Questo caso sottolinea l’importanza di misure di sicurezza solide e pratiche etiche nel settore delle criptovalute.
