Forklog 2024-06-19 14:46:30

Баг-хантеры вывели $3 млн с Kraken благодаря «экстремально критической» уязвимости

Криптобиржа Kraken устранила опасный эксплойт, который позволял искусственно завысить, а затем опустошить пользовательский баланс. Kraken Security Update:On June 9 2024, we received a Bug Bounty program alert from a security researcher. No specifics were initially disclosed, but their email claimed to find an “extremely critical” bug that allowed them to artificially inflate their balance on our platform.— Nick Percoco (@c7five) June 19, 2024 По словам директора по безопасности торговой платформы Ника Перкоко, 9 июня компания получила отчет об уязвимости в рамках программы Bug Bounty. Исследователь выявил «экстремально критическую» ошибку, однако не сообщил никаких подробностей, рассказал топ-менеджер. «Через несколько минут мы обнаружили изолированный баг. Он позволял злоумышленникам при определенных обстоятельствах инициировать депозит на нашу платформу и получить средства на свой счет, не завершив транзакцию полностью», — объяснил Перкоко. Команда Kraken устранила уязвимость примерно за час, проведя анализ последствий. Глава отдела по безопасности заверил, что средства пользователей не пострадали. Однако биржа обнаружила три аккаунта, которые успели воспользоваться эксплойтом. Одна учетная запись с KYC принадлежала пользователю, сообщившему о баге через Bug Bounty. «Этот человек обнаружил ошибку в нашей системе депозитов и воспользовался ею, чтобы пополнить свой счет на $4 в криптовалюте. Этого было бы достаточно, чтобы доказать ошибку, отправить нашей команде отчет и получить весьма значительное вознаграждение в соответствии с условиями нашей программы», — отметил Перкоко. Однако пользователь раскрыл эксплойт двум другим сообщникам, заявил представитель Kraken. В конечном итоге они с помощью уязвимости вывели около $3 млн, принадлежащих казначейству биржи. После этого торговая платформа запросила полный отчет об ошибке у исследователей, которые оказались неназванной аналитической фирмой по безопасности. Однако они отказались делиться данными и запросили больше денег в качестве награды. «Они потребовали звонка своей команде по развитию бизнеса (т. е. своим торговым представителям) и не согласились вернуть какие-либо средства, пока мы не отправим им определенную сумму в долларах, которая бы отражала потенциальный ущерб от раскрытия эксплойта. Это не хакерство, это вымогательство», — написал глава киберзащиты Kraken. Ранее биржа OKX раскрыла подробности о серии взломов учетных записей. По данным платформы, хакер подделывал документы и обходил дополнительные механизмы безопасности вроде двухфакторной аутентификации (2FA). Напомним, 3 июня стало известно, что злоумышленник получил контроль над аккаунтом китайского трейдера на Binance, не имея пароля и доступа к 2FA. После ряда сделок он вывел активы на $1 млн. https://forklog.com/news/chereda-vzlomov-ataka-na-holograph-fejk-birzha-i-nagrada-ot-uwu-lend

Наиболее читаемые новости

BREAKING: SEC Sues Silvergate Bank for Secur...
2024-07-01
SEC Files Securities Fraud Lawsuit Against Si...
2024-07-01
Investor Nets $3 Million from BAKED Meme Coin...
2024-07-01
ChatGPT Could Send Users to Malicious Sites:...
2024-07-01
Ethereum-Based Polymarket Enhances Presidenti...
2024-07-01
US SEC Can No Longer Turn to In-House Tribuna...
2024-07-01
TSLA is surging despite lower delivery expect...
2024-07-01
On the Margin Newsletter: Unpacking the ‘big...
2024-07-01

Связанные новости

Прочтите Отказ от ответственности : Весь контент, представленный на нашем сайте, гиперссылки, связанные приложения, форумы, блоги, учетные записи социальных сетей и другие платформы («Сайт») предназначен только для вашей общей информации, приобретенной у сторонних источников. Мы не предоставляем никаких гарантий в отношении нашего контента, включая, но не ограничиваясь, точность и обновление. Никакая часть содержания, которое мы предоставляем, представляет собой финансовый совет, юридическую консультацию или любую другую форму совета, предназначенную для вашей конкретной опоры для любых целей. Любое использование или доверие к нашему контенту осуществляется исключительно на свой страх и риск. Вы должны провести собственное исследование, просмотреть, проанализировать и проверить наш контент, прежде чем полагаться на них. Торговля - очень рискованная деятельность, которая может привести к серьезным потерям, поэтому проконсультируйтесь с вашим финансовым консультантом, прежде чем принимать какие-либо решения. Никакое содержание на нашем Сайте не предназначено для запроса или предложения