Hacker mũ trắng từ chối trả lại 3 triệu USD đánh cắp từ kho bạc Kraken

Vào ngày 09/06, một nhà nghiên cứu bảo mật đã cảnh báo Kraken thông qua chương trình Bug Bounty, tuyên bố đã phát hiện ra một lỗi nghiêm trọng. Lỗi này cho phép người dùng tăng khống số dư tài khoản của họ.

Kraken Security Update:

On June 9 2024, we received a Bug Bounty program alert from a security researcher. No specifics were initially disclosed, but their email claimed to find an “extremely critical” bug that allowed them to artificially inflate their balance on our platform.
— Nick Percoco (@c7five) June 19, 2024

Cuộc điều tra cho thấy lỗi này đã cho phép tội phạm mạng thực hiện thao tác nạp tiền vào tài khoản sàn Kraken và nhận được tiền mà không cần hoàn tất quy trình nạp tiền. Mặc dù tiền của khách hàng không gặp rủi ro nhưng những kẻ tấn công có thể in tài sản vào tài khoản của họ một cách dễ dàng và sau đó rút chúng, làm cạn kiệt kho bạc của Kraken. Trong vòng hai giờ sau khi biết đến sự cố, Kraken đã xác định lỗi nằm ở bản cập nhật trải nghiệm người dùng (UX) mới nhất của nền tảng.

*Hacker mũ trắng từ chối trả lại 3 triệu USD đánh cắp được từ kho bạc Kraken*

Sau khi xem xét kỹ lưỡng hơn, Kraken phát hiện có ba tài khoản đã khai thác lỗ hổng này. Một tài khoản thuộc về một người dùng được xác định là người nghiên cứu bảo mật. Cá nhân này ban đầu đã nạp vào tài khoản Kraken của họ một số tiền nhỏ 4 USD để khai thác lỗi này. Thay vì gửi báo cáo lỗi cho Kraken, người này đã thông báo cho hai đồng nghiệp, sau đó họ đã khai thác lỗ hổng để rút chung gần 3 triệu USD tiền điện tử.

Khi liên hệ với nhóm nghiên cứu bảo mật này, Kraken đã yêu cầu trả lại tài sản bị đánh cắp và báo cáo về các hoạt động của họ. Tuy nhiên, những người này đã từ chối và cho rằng cách tiếp cận của Kraken là vô lý và thiếu chuyên nghiệp. Họ đề nghị Kraken tính toán những thiệt hại tiềm ẩn mà nền tảng lẽ ra sẽ phải chịu nếu lỗi này không được phát hiện.

Percoco, giám đốc an ninh của sàn cho biết Kraken đã đưa vụ việc lên các cơ quan thực thi pháp luật vì vụ việc này là một trường hợp tống tiền. Hiện tại, các cơ quan chức năng đang điều tra và Kraken đang hợp tác chặt chẽ để đảm bảo rằng các tài sản bị đánh cắp sẽ được trả lại và những kẻ chịu trách nhiệm sẽ bị xử lý theo pháp luật.

Đọc thêm:

Hacker từ chối trả lại 3 triệu USD đánh cắp từ kho bạc Kraken

Bài viết liên quan