Der Sicherheitschef von Kraken enthüllt, dass die UX-Änderung zu einem 3-Millionen-Dollar-Bug-Exploit geführt hat

von

Als Forscher mit Erfahrung in der Krypto-Börsenbranche finde ich den jüngsten Vorfall bei Kraken zutiefst besorgniserregend. Der Verlust von rund 3 Millionen US-Dollar aufgrund eines Fehlers, der von betrügerischen „Sicherheitsforschern“ ausgenutzt wurde, ist eine deutliche Erinnerung an die Bedeutung ethischer Standards und gründlicher Tests in diesem Bereich.

Finger weg von langweiligen Regierungsdebatten! 😴 Hier gibt's nur heiße Krypto-News und Sarkasmus! 💥😎

👉Bereit für den Spaß? Klick auf "Beitreten"! 📲

Als Forscher, der die Sicherheitsvorfälle bei Kraken untersuchte, entdeckte ich, dass ein Fehler im Finanzierungsmechanismus der Börse von böswilligen Sicherheitsforschern ausgenutzt wurde, was zu einem Verlust von 3 Millionen US-Dollar für Kraken führte.

Anfang Juni wurde der amerikanischen Börse Kraken eine Kryptowährung im Wert von etwa 3 Millionen US-Dollar gestohlen, nachdem ein unbekannter „Sicherheitsforscher“ einen listigen Angriff auf ihr Finanzierungssystem durchgeführt hatte. Der Chief Security Officer von Kraken, Nick Percoco, gab diese Informationen in einem öffentlichen Forum bekannt und drückte seine Enttäuschung über den ethischen Verstoß der Verantwortlichen aus.

In unserem täglichen Betrieb stoßen wir auf betrügerische Fehlerberichte, die als „Einsendungen von Sicherheitsforschern“ gekennzeichnet sind. Dies ist kein neues Ereignis für diejenigen, die ein Bug-Bounty-Programm verwalten. Dennoch haben wir diese Vorwürfe ernst genommen und umgehend ein gemeinsames Team gebildet, um der Angelegenheit nachzugehen. Hier ist, was unsere Untersuchung ergeben hat.

– Nick Percoco (@c7two), 19. Juni 2024

Laut Percocos Bericht hat ein „Sicherheitsforscher“ das Team am 9. Juni auf ein mögliches Problem aufmerksam gemacht. Anschließend stellten sie einen „Fehler aufgrund einer kürzlich erfolgten Änderung der Benutzererfahrung“ fest, der es Kunden ermöglichte, auf ihre Kreditkonten zuzugreifen, bevor ihre Vermögenswerte gelöscht wurden. Dies ermöglichte es Händlern, in Echtzeit Kryptomarkttransaktionen durchzuführen. Bedauerlicherweise gab der CSO von Kraken zu, dass er die UX-Änderung für diese spezielle Art von Angriff vor ihrem Auftreten nicht bewertet hatte.

„Diese UX-Änderung wurde nicht gründlich gegen diesen spezifischen Angriffsvektor getestet“, schrieb Percoco.

Als Analyst habe ich herausgefunden, dass nach der Behebung einer Schwachstelle festgestellt wurde, dass drei Konten bei Kraken diese innerhalb kurzer Zeit ausgenutzt haben. Anstatt Kraken dieses Sicherheitsproblem direkt mitzuteilen, soll der Forscher laut Percocos Aussage die Informationen an zwei Begleiter weitergegeben haben. Die Identität dieser Personen bleibt unbekannt, aber sie konnten dadurch etwa 3 Millionen US-Dollar aus den Geldern von Kraken abheben.

Als Percoco sprach, betonte er, dass der ursprüngliche Bericht des selbsternannten „Sicherheitsforschers“ nicht völlig transparent über die entdeckte Schwachstelle sei. Daher musste das Team bestimmte Aspekte noch einmal überprüfen, bevor es mit der Gewährung einer Belohnung für die Aufdeckung eines Sicherheitsproblems fortfahren konnte.

Als Forscher, der diesen Vorfall untersucht, kann ich es so umschreiben, dass Kraken eine vollständige Erklärung der ergriffenen Maßnahmen, eine Demonstration ihrer Fähigkeiten und die Wiederherstellung der beschlagnahmten Gelder verlangte. Die betroffenen Personen lehnten dies jedoch ab und Percoco bezeichnete ihr Verhalten als „Erpressung“ und nicht als ethisches Hacking. Die Einzelheiten darüber, ob es Kraken gelungen ist, alle Täter zu identifizieren oder die gestohlenen Gelder wiederzuerlangen, bleiben ungewiss.

Weiterlesen

2024-06-19 17:16