White-Hat-Hacker weigern sich, aus Krakens Schatzkammer gestohlene 3 Millionen US-Dollar zurückzugeben

Nick Percoco, Chief Security Officer der führenden Kryptowährungsbörse Kraken, hat enthüllt, dass sich eine unbekannte White-Hat-Hackergruppe geweigert hat, digitale Vermögenswerte im Wert von etwa 3 Millionen US-Dollar zurückzugeben, die sie aus der Schatzkammer der Plattform gestohlen haben, indem sie einen Fehler in ihrem System ausgenutzt haben.

In einer Reihe von X-Beiträgen sagte Percoco, dass die Sicherheitsforscher verlangen, dass die Krypto-Börse einen mutmaßlichen Geldbetrag zur Verfügung stellt, den sie hätte verlieren können, wenn sie den Fehler nicht offengelegt hätten, bevor sie die gestohlenen Gelder zurückgeben könnten.

Sicherheitsforscher enthüllen Kraken-Bug

Laut Percoco schickte ein Sicherheitsforscher am 9. Juni eine Bug-Bounty-Programmwarnung an Kraken und behauptete, sie hätten einen „extrem kritischen“ Fehler gefunden, der es Benutzern ermöglichte, ihr Guthaben auf der Plattform künstlich zu erhöhen. Obwohl die Börse davor zurückschreckte, täglich mehrere gefälschte Bug-Bounty-Meldungen zu erhalten, nahm sie die Behauptung ernst und stellte ein Team zusammen, um das Problem zu untersuchen.

Das Team hat einen Fehler gefunden, der es Cyberkriminellen ermöglichte, Einzahlungen auf Kraken zu veranlassen und Gelder auf ihren Konten zu erhalten, ohne die Einzahlungen abzuschließen. Obwohl der Fehler die Gelder der Kunden nicht gefährdete, konnte ein Angreifer Vermögenswerte auf ihren Konten ausdrucken und Abhebungen vornehmen, die aus der Kasse von Kraken abgezogen werden konnten.

Das Problem konnte in weniger als zwei Stunden nach der Identifizierung behoben werden. Das Team stellte fest, dass der Fehler auf einen Fehler in der neuesten Benutzererfahrung (UX) von Kraken zurückzuführen war. Bei weiteren Untersuchungen stellte Kraken fest, dass drei Konten den Fehler bereits ausgenutzt hatten. Ein Konto war mit einem Benutzer verknüpft, der behauptete, ein Sicherheitsforscher zu sein.

Es stellte sich heraus, dass der Forscher den Fehler zuerst entdeckte, ihn ausnutzte, um seinem Kraken-Konto 4 US-Dollar in Krypto gutzuschreiben, und anstatt einen Bug-Bounty-Bericht beim zuständigen Team einzureichen, informierte er seine beiden Kollegen, die den Fehler für größere Beträge ausnutzten . Zusammen haben sie rund 3 Millionen US-Dollar an Kryptowährungen von ihren Konten abgehoben.

Bug Bounty wurde zur Erpressung

Als Kraken die Sicherheitsforscher kontaktierte und einen Bericht über ihre Aktivitäten und die Rückgabe der abgehobenen Vermögenswerte verlangte, lehnten diese ab. Sie bezeichneten Kraken als unvernünftig und unprofessionell und forderten von der Plattform die Angabe des geschätzten Schadens, den der Fehler verursacht haben könnte.

Percoco sagte, Kraken habe den Fall bei den Strafverfolgungsbehörden eingereicht, da es sich um Erpressung handele.

„Wir behandeln dies als Strafverfahren und stimmen uns entsprechend mit den Strafverfolgungsbehörden ab. Wir sind dankbar, dass dieses Problem gemeldet wurde, aber hier endet dieser Gedanke“, erklärte Percoco.

Der Beitrag „White-Hat-Hacker verweigern die Rückgabe von gestohlenen 3 Millionen US-Dollar aus Krakens Schatzkammer“ erschien zuerst auf CryptoPotato.