jakiro
Auteur: grimpeur, royaume de Bitchain Vision
Le 19 juin, Nick Percoco, directeur de la sécurité de Kraken, a déclaré que les employés d’une société de sécurité utilisaient des vulnérabilités de plate-forme pour retirer plus de 3 millions de dollars d’actifs numériques, ce qui est un cas d’extorsion en responsabilité pénale.
La tête de lance de l’incident a indiqué directement l’agence de sécurité blockchain certik.Les actifs de chiffrement des transactions nécessaires générés par le test ont également été retournés, mais le montant total de Kraken est différent.
Pour le différend entre les deux parties, il y a un point de vue que Certik peut avoir les actions du vol de soi volé, mais certaines personnes pensent que Certik n’est pas logique. Le problème du problème peut être dans le nombre de primes.
Les mots contre les deux parties
La cause de l’incident était qu’un chercheur en sécurité a signalé à Kraken le 9 juin qu’une échappatoire de sécurité pouvait retirer les actifs réels en falsifiant les dépôts.Par la suite, Kraken a découvert et fixé la vulnérabilité tout en remarquant que l’adresse du compte pertinent avait utilisé la vulnérabilité pour retirer une grande quantité d’actifs.
Ainsi, le 19 juin, le directeur de la sécurité de Kraken, Nick Percoco, a déclaré que deux comptes liés au chercheur en sécurité avaient utilisé la vulnérabilité pour retirer les actifs numériques d’une valeur de plus de 3 millions de dollars.Nous avons demandé à parler à l’entreprise où se trouvait l’autre partie, mais l’autre partie n’a pas accepté de rembourser les fonds.
Compte tenu de cela, Kraken croit que le comportement n’est plus un pirate de chapeau blanc, mais une extorsion.
En ce qui concerne les remarques de Kraken et l’opinion publique de la communauté, Certik a déclaré à plusieurs reprises, affirmant qu’il était innocent et publié un article pour expliquer les tenants et aboutissants de l’incident.
Certik a déclaré qu’il y avait une série de vulnérabilités graves à Kraken, ce qui pourrait entraîner des centaines de millions de dollars de pertes.Le système de dépôt de Kraken ne peut pas distinguer efficacement le statut de transfert interne différent et le risque d’acteurs malveillants pour falsifier les transactions de dépôt et retirer le risque de faux fonds.
Au cours du test, des millions de dollars de faux fonds peuvent être déposés dans le compte Kraken, et plus d’un million de dollars de crypto-monnaies forgées peuvent être transformées en actifs valides, et le système Kraken n’a déclenché aucune alarme.Après que Certik ait informé Kraken, Kraken a classé la vulnérabilité comme « critique » et a préliminé le problème.
>
Cependant, Certik a souligné que l’équipe de sécurité de Kraken menaçait par la suite les employés de CERTIK à exiger le remboursement des crypto-monnaies non correspondantes dans un délai déraisonnable et n’a pas fourni d’adresse de remboursement.Afin de protéger la sécurité des utilisateurs, Certik a décidé de divulguer la question, appelant Kraken à arrêter toute menace pour le pirate de chapeau blanc et à souligner pour faire face aux risques grâce à la coopération.
En outre, Certik a également déclaré qu’il avait confirmé qu’il avait retourné tous les fonds détenus, mais le montant total était incompatible avec la demande de Kraken.Le montant de retour comprend 734.19215 ETH, 29 001 USDT et 1021.1 XMR, tandis que Kraken demande le montant à retourner au 155818.4468 MATIC, 907400.1803 USDT, 475.5557871 ETH et 1089.794737 XMR.
>
Dans la dernière lettre de réponse publique, Certik a répondu à 10 cœurs de l’incident, en particulier mentionné qu’ils n’avaient pas participé au plan de prime Kraken, et toutes les adresses de dépôt de test ont été rendues publiques dès le début.
Les opinions de la communauté sont différentes
Certik a énuméré la ligne d’événement complète pour l’incident, mais de nombreuses communautés, y compris le chercheur en sécurité @Tayvano, ont publié des questions.
>
Selon Certik, le moment où ils ont testé et informé Kraken ont commencé le 5 juin.Cependant, @Tayvano a non seulement constaté que ces adresses se sont révélées à grande échelle via d’autres plates-formes commerciales via l’adresse de transfert de la chaîne, mais aussi le comportement de test des tests de Kraken a été déplié tant qu’il était plus long.
Cyversalerts, Cyversalerts, fournit à @tayvano trois adresses dentaires liées à l’événement:
0x3C6A231B1FFFE2AC29AD9C7E392C830295A97BB3 0XDC6AF6FD88075D55FF3C4F2984630C0EA776BC 0X03D23CB3C1F27861FFFA56D3A56D3A56D3A599
>
Ce qui précède est une chaîne évidente, de grands enregistrements de retrait. @ Tayvano a également souligné qu’après que ces adresses ont extrait une grande quantité de fonds, l’échange de valeur maximale a été effectué à plusieurs reprises via la plate-forme d’échange de crypto-monnaie instantanée.
@Tayvano a déclaré qu’elle avait souvent vu ce modèle et le considérait comme un moyen de distinguer l’adresse de la victime et l’adresse du piratage lors de la fuite de la clé chaotique.
>
@Tayvano a également constaté que 0x3C6A231B1FFE2AC29AD9C7E392C830295A97BB3 a transféré 154 000 matiques à ChangeNow.
>
L’intérieur de Coinbase @JConorgrogan a déclaré que l’adresse du personnel concerné avait transféré 1200 Matic à Tornadocash, qui était destiné à échanger des fonds via le mélangeur.
De plus, @ Tayvano a également constaté que Certik avait été effectué par Certik dès le 5 juin en comparant l’adresse de dépôt du personnel de sécurité de certik.Il a dit que si nous revenons à la chronologie de Certik, le retrait So-appelé « premier tour » et « deuxième tour » n’est en fait pas le premier tour et le deuxième tour, plus comme le septième tour.
À cet égard, Meir Dolev, technicien en chef de la société de sécurité Cyvers, a également remis en question la découverte de Certik des vulnérabilités de Kraken, et a déclaré que Certik était soupçonné d’avoir fait le même test sur OKX et Coinbase.
Meir Dolev a cité le contenu partagé par @tayvano, à savoir: 0x1d … l’adresse 7ac9 a créé un contrat 0x45 … cea9 le 24 mai et a mené des activités connexes.
Le soupçonné de ce contrat (0x45 … cea9) sur la base teste également les mêmes tests sur OKX et Coinbase pour déterminer si les deux échanges ont les mêmes lacunes à Kraken.
Un autre membre de la communauté @ 0xboboshanti a également déclaré qu’une adresse publiée par Certik Security Researcher sur Twitter avait été effectuée dès le 27 mai.Cela contredit le calendrier de l’incident de certik.Certik Tornado TXS a financé un portefeuille qui a récemment interagi avec le même contrat.
Taylor Monahan, PDG et fondateur du directeur du portefeuille Ethereum MyCrypto, a également analysé la possibilité de l’événement, affirmant que Certik devrait avoir peur de l’avocat de Kraken, des dommages à sa réputation et comment cette tempête peut affecter l’interne interne interne de certik.
Elle a également souligné que, parce que plusieurs projets cryptés de certik audité ont été attaqués dans le passé, il a circulé sur Internet pour deviner la possibilité de faire le fonctionnement du personnel interne.
Cependant, certains Kol bien connus dans l’industrie ont présenté des points de vue différents, pensant que Certik n’est pas nécessairement un vrai pirate, et ils spéculent sur l’incident.Le chercheur chiffré @boxmrchen a déclaré que ce n’était pas nécessairement un pirate pour comprendre Certik, mais peut vouloir plus de prime.Il espère également que Kraken est prêt à payer Certik à quel point le chapeau blanc Bounty VOIR s’il s’agit de gourmands et de rusés de certik, ou les cheveux de Kraken.
Le chercheur de Cryptoinsight, Haotian, a déclaré que Certik avait trouvé et signalé à Kraken la vulnérabilité, ce qui indique que le cœur n’était pas un comportement de « pirate ».
résumé
Pour la « forêt sombre et profonde » du marché du cryptage, il n’est pas surprenant que les pirates attaquant des incidents soient infinis et non surprenants, mais il est sans aucun doute facile d’attirer des critiques avec la bannière du « chapeau blanc ».Bien que Certik ait fait de son mieux pour clarifier son comportement de «justice», Certik doit vraiment donner une explication raisonnable sur la question des membres de la communauté mentionnés ci-dessus.
Cependant, comme l’a dit Certik, le système de défense profond de Kraken n’a pas réussi à détecter autant de transactions de test, ce qui peut en effet entraîner des pertes de risques plus importantes.Les deux parties devraient travailler ensemble pour faire face à des risques et assurer l’avenir de WEB3.
