CertiK:向Kraken报告安全漏洞后员工却遭到其安全运营团队的威胁

IP归属:美国

CertiK近期在Kraken交易所发现了一系列的严重漏洞,这些漏洞可能潜在地导致数亿美元的损失。 事件概述

从发现Kraken交易所 存款系统可能无法区分不同的内部转账状态开始,CertiK进行了全面的调查,并提出了三个关键问题:

恶意行为者能否伪造一笔存款交易到Kraken账户?

恶意行为者能否提取伪造的资金?

在大额提款请求时,会触发哪些风险控制和资产保护措施?

根据测试结果,Kraken交易所未通过所有这些测试,这表明Kraken的纵深防御系统在多个方面都受到了威胁;数百万美元可以存入任何Kraken账户。从账户中可以提取大量伪造的加密货币(价值超过100万美元),并将其转换为有效的加密货币。更糟糕的是,在为期数天的测试期间,没有触发任何警报。在我们正式报告事件几天后,Kraken才做出回应并锁定了测试账户。

发现后,CertiK通知了Kraken,其安全团队将其分类为“Critical”:这是Kraken最严重的分类级别。在初步成功识别和修复漏洞后,Kraken的安全运营团队却威胁个别CertiK员工,在不合理的时间内偿还金额不匹配的加密货币,甚至没有提供还款地址。 细节披露

为了社区可以更透明地了解事件全貌,CertiK提供了事件发生时间线以及测试存款交易明细:

事件发生时间线

测试存款交易明细

其中,CertiK指出:

白帽行动的事实:数百万美金的加密货币是凭空铸造的,在研究活动中,没有真正的Kraken用户资产被涉及。

更严重的安全问题:在几天的时间里,许多伪造的代币被生成并提现为有效的加密货币,直到CertiK报告之前,没有任何风险控制或预防机制被触发。

真正的问题:为什么Kraken的纵深防御系统未能检测到如此多的测试交易。从不同的测试账户中连续大额提现,是CertiK测试系统极限的一部分。 结语

本着透明的精神和对Web3社区的承诺,CertiK选择公开此事以保护所有用户的安全。CertiK敦促Kraken交易所停止对白帽黑客的任何威胁,携手合作,共同面对风险,保障Web3的未来。

本文来源:陀螺科技 文章作者:CertiK
收藏
举报
CertiK
累计发布内容96篇 累计总热度10万+

陀螺科技现已开放专栏入驻,详情请见入驻指南: https://www.tuoluo.cn/article/detail-27547.html

CertiK专栏: https://www.tuoluo.cn/columns/author1430739/

本文网址: https://www.tuoluo.cn/article/detail-10113364.html

免责声明:
1、本文版权归原作者所有,仅代表作者本人观点,不代表陀螺科技观点或立场。
2、如发现文章、图片等侵权行为,侵权责任将由作者本人承担。

相关文章