Les pirates informatiques refusent de restituer les 3 millions de dollars volés au trésor de Kraken

Nick Percoco, responsable de la sécurité de Kraken, responsable de la sécurité de Kraken, a révélé qu’un groupe de pirates informatiques non divulgués a refusé de restituer des actifs numériques d’une valeur d’environ 3 millions de dollars, qu’ils ont volés dans la trésorerie de la plateforme en exploitant un bug dans son système.

Dans une série de messages X, Percoco a déclaré que les chercheurs en sécurité exigeaient que l’échange cryptographique fournisse un montant d’argent spéculé qu’il aurait pu perdre s’ils n’avaient pas divulgué le bug avant de pouvoir restituer les fonds volés.

Des chercheurs en sécurité révèlent un bug Kraken

Selon Percoco, un chercheur en sécurité a envoyé une alerte du programme Bug Bounty à Kraken le 9 juin, affirmant avoir trouvé un bug « extrêmement critique » qui permettait aux utilisateurs de gonfler artificiellement leur solde sur la plateforme. Même si l’échange se méfiait de recevoir quotidiennement plusieurs faux rapports de bug bounty, il a pris cette affirmation au sérieux et a réuni une équipe pour enquêter sur le problème.

L’équipe a découvert un bug qui permettait aux cybercriminels d’effectuer des dépôts sur Kraken et de recevoir des fonds sur leurs comptes sans finaliser les dépôts. Bien que le bug ne mette pas en danger les fonds des clients, un attaquant pourrait imprimer des actifs sur leurs comptes et effectuer des retraits qui pourraient être extraits de la trésorerie de Kraken.

Le problème a été résolu en moins de deux heures après son identification. L’équipe a découvert que le bug provenait d’une faille dans la dernière expérience utilisateur (UX) de Kraken. Après une enquête plus approfondie, Kraken a découvert que trois comptes avaient déjà exploité la faille. Un compte était lié à un utilisateur prétendant être un chercheur en sécurité.

Il s’avère que le chercheur a trouvé le bug en premier, l’a exploité pour créditer son compte Kraken de 4 $ en crypto, et plutôt que de déposer un rapport de bug bounty auprès de l’équipe appropriée, il a informé ses deux collègues, qui ont exploité la faille pour des sommes plus importantes. . Collectivement, ils ont retiré environ 3 millions de dollars en crypto de leurs comptes.

Le Bug Bounty s’est transformé en extorsion

Lorsque Kraken a contacté les chercheurs en sécurité et a demandé un compte rendu de leurs activités et la restitution des actifs qu’ils ont retirés, ils ont refusé. Ils ont qualifié Kraken de déraisonnable et de non professionnel et ont exigé que la plateforme fournisse une estimation des dommages que le bug aurait pu causer.

Percoco a déclaré que Kraken avait porté l’affaire auprès des forces de l’ordre car il s’agit d’une affaire d’extorsion.

« Nous traitons cette affaire comme une affaire pénale et nous nous coordonnons en conséquence avec les forces de l’ordre. Nous sommes reconnaissants que ce problème ait été signalé, mais c’est là que s’arrête cette réflexion », a déclaré Percoco.

L’article Les pirates au chapeau blanc refusent de restituer 3 millions de dollars volés au Trésor de Kraken apparaît en premier sur CryptoPotato.