Sicherheitschef von Kraken enthüllt 3-Millionen-Dollar-Exploit aus UX-Bug

Die amerikanische Kryptowährungsbörse Kraken erlitt Anfang Juni einen Verlust von 3 Millionen Dollar, nachdem ihr Finanzierungssystem ausgenutzt wurde. Der Verstoß, der betrügerischen Sicherheitsforschern zugeschrieben wird, wurde von Krakens Chief Security Officer Nick Percoco in den sozialen Medien öffentlich gemacht.

Laut Percoco Kraken erhielt am 9. Juni erstmals einen Fehlerbericht von einem angeblichen „Sicherheitsforscher“. Der Fehler, der auf ein kürzlich erfolgtes Update der Benutzererfahrung (UX) zurückzuführen war, ermöglichte es Benutzern, ihre Konten vor der Freigabe von Vermögenswerten aufzuladen, was unbefugten Echtzeithandel ermöglichte. Percoco gab zu, dass die UX-Änderung vor der Bereitstellung nicht gegen diesen speziellen Angriffsvektor getestet worden war.

„Diese UX-Änderung wurde nicht gründlich gegen diesen spezifischen Angriffsvektor getestet“, erklärte Percoco.

Nachfolgende Untersuchungen ergaben, dass die Schwachstelle dreimal ausgenutzt worden war, bevor sie gepatcht wurde. Anstatt ethische Offenlegungspraktiken zu befolgen, teilte der Forscher den Exploit angeblich mit zwei Komplizen, was zur illegalen Abhebung von fast 3 Millionen Dollar aus Krakens Reserven führte.

Der ursprüngliche Fehlerbericht des Sicherheitsforschers war unvollständig, sodass weitere Überprüfungen erforderlich waren, bevor eine Belohnung für die Identifizierung des Fehlers in Betracht gezogen werden konnte. Krakens Forderung nach einem detaillierten Bericht über ihre Aktionen, einem Proof of Concept und der Rückgabe der gestohlenen Gelder wurde abgelehnt, was Percoco als „Erpressung“ verurteilte und von den Standardprotokollen für ethisches Hacken abwich.

Bislang hat Kraken noch keine Auskunft darüber gegeben, ob alle Beteiligten identifiziert und die verlorenen Vermögenswerte wiedergefunden wurden.

source