Presuntos investigadores robaron 3 millones de dólares del intercambio Kraken

Presuntos investigadores robaron 3 millones de dólares del intercambio Kraken

Presuntos investigadores explotaron un día cero en el intercambio de criptomonedas Kraken para robar $3 millones en criptomonedas.

El director de seguridad de Kraken, Nick Percoco, reveló que presuntos investigadores de seguridad explotaron una falla de día cero para robar criptomonedas por valor de 3 millones de dólares. Los investigadores se niegan a devolver los fondos robados.

Percoco reveló que un investigador de seguridad informó de un error «extremadamente crítico» en el intercambio el 9 de junio. El investigador no reveló detalles técnicos sobre los problemas, solo explicó que la falla permitía a alguien aumentar arbitrariamente los saldos en la billetera.

«Todos los días recibimos informes falsos de recompensas por errores de personas que dicen ser «investigadores de seguridad». Esto no es nuevo para nadie que ejecute un programa de recompensas por errores. Sin embargo, nos tomamos esto en serio y rápidamente formamos un equipo multifuncional para entrar en este asunto.» Percoco explicó.

El equipo de seguridad de Kraken descubrió un «error aislado» que permitía a un atacante, bajo circunstancias específicas, iniciar un depósito en la plataforma y recibir fondos en su cuenta sin completar el depósito.

La compañía señaló que los activos del cliente no están en riesgo; sin embargo, un atacante puede imprimir efectivamente los activos en su cuenta Kraken durante algún tiempo.

El equipo de seguridad abordó la vulnerabilidad en una hora. La vulnerabilidad se deriva de un cambio reciente en la interfaz de usuario que acredita rápidamente las cuentas de los clientes antes de que se liquiden sus activos y permite a los clientes operar de manera efectiva en mercados criptográficos en tiempo real.

«Este cambio de UX no se ha probado exhaustivamente contra este vector de ataque específico». continuar el

Después de parchear la vulnerabilidad, los expertos descubrieron que tres cuentas explotaron la vulnerabilidad en unos pocos días. Una de estas cuentas fue verificada por un individuo que decía ser un investigador de seguridad.

Percoco añadió que el investigador reveló el error a otras dos personas que lo utilizaron para retirar 3 millones de dólares en fondos robados de sus cuentas en Kraken.

La empresa pidió a los investigadores que devolvieran los fondos robados, pero ellos se negaron.

«¡Esto no es hackeo de sombrero blanco, es extorsión!» dijo Percoco, quien agregó que su empresa ha notificado a las autoridades.