jakiro
Autor: Kletterer, Bitchain Vision Reich
Am 19. Juni erklärte Nick Percoco, Chief Security Officer von Kraken, dass Mitarbeiter eines Sicherheitsunternehmens Plattform Schwachstellen verwendeten, um mehr als 3 Millionen US -Dollar digitale Vermögenswerte zurückzuziehen, was ein Erpressungsverfahren für strafrechtliche Verantwortung darstellt.
Der Speerkopf des Vorfalls zeigte direkt auf die Blockchain Security Agency Certik.Die erforderlichen Verschlüsselungsvermögenswerte der Transaktion wurden ebenfalls zurückgegeben, die Gesamtmenge von Kraken ist jedoch unterschiedlich.
Für den Streit zwischen den beiden Parteien besteht eine Sichtweise, dass Certik die Handlungen des gestohlenen Selbst -Denftemittels haben, aber einige Leute denken, dass Certik nicht logisch ist. Der Fokus des Problems kann in der Anzahl der Kopfgeld liegen.
Die Worte gegen beide Parteien
Die Ursache des Vorfalls war, dass ein Sicherheitsforscher Kraken am 9. Juni berichtete, dass eine Sicherheitslücke das tatsächliche Vermögen durch Fälschungen der Einlagen zurückziehen könne.Danach entdeckte und fixierte Kraken die Sicherheitsanfälligkeit und bemerkte, dass die relevante Kontoadresse die Anfälligkeit verwendet hatte, um eine große Menge an Vermögenswerten abzuheben.
Am 19. Juni sagte Kraken Chief Security Officer Nick Percoco, dass zwei Konten im Zusammenhang mit dem Sicherheitsforscher die Anfälligkeit verwendet hätten, um digitale Vermögenswerte im Wert von mehr als 3 Millionen US -Dollar abzuheben.Wir haben darum gebeten, mit dem Unternehmen zu sprechen, in dem sich die andere Partei befand, aber die andere Partei stimmte nicht zu, Geld zu erstatten.
In Anbetracht dessen glaubt Kraken, dass das Verhalten kein Hacker für weißer Hut mehr ist, sondern eine Erpressung.
In Bezug auf die Bemerkungen von Kraken und die öffentliche Gemeinschaft der Gemeinschaft erklärte Certik wiederholt und behauptete, er sei unschuldig, und veröffentlichte einen Posten, um die Vorfälle des Vorfalls zu erklären.
Certik sagte, dass es in Kraken eine Reihe schwerwiegender Schwachstellen gab, die zu Hunderten von Millionen Dollar an Verlusten führen könnten.Das Kraken -Einlagensystem kann nicht zwischen unterschiedlichem internem Übertragungsstatus und dem Risiko von böswilligen Akteuren zur Fälschung von Einlagentransaktionen effektiv unterscheiden und das Risiko von gefälschten Fonds zurückziehen.
Während des Tests können Millionen von Dollar falscher Fonds auf dem Kraken -Konto hinterlegt werden, und mehr als 1 Million US -Dollar gefälschter Kryptowährungen können in gültige Vermögenswerte umgewandelt werden, und das Kraken -System hat keinen Alarm ausgelöst.Nachdem Certik Kraken benachrichtigt hatte, klassifizierte Kraken die Verwundbarkeit als „kritisch“ und prelimierte das Problem.
>
Certik wies jedoch darauf hin, dass das Kraken -Sicherheitsteam anschließend Certik -Mitarbeiter drohte, die Rückzahlung von nicht vergleichenden Kryptowährungen innerhalb einer unangemessenen Zeit zu verlangen, und lieferte keine Rückzahlungsadresse.Um die Sicherheit der Nutzer zu schützen, beschloss Certik, die Angelegenheit offen zu legen, und forderte Kraken auf, eine Bedrohung für den White Hat Hacker zu stoppen und betont, mit Risiken durch Zusammenarbeit umzugehen.
Darüber hinaus erklärte Certik auch, dass es bestätigt habe, dass es alle gehaltenen Mittel zurückgegeben hatte, der Gesamtbetrag war jedoch nicht mit der Kraken -Anfrage überein.Der Rückgabebetrag umfasst 734,19215 ETH, 29.001 USDT und 1021.1 XMR, während Kraken den zu ertragenden Betrag auf 155818.4468 matic, 907400.1803 USD, 475,557871 ETH und 1089777737 xMR anfordert.
>
Im jüngsten öffentlichen Antwortbrief beantwortete Certik 10 Kerne des Vorfalls, insbesondere, dass sie nicht am Kraken Bounty Plan teilnahmen, und alle Testadressen der Testabläufe wurden von Anfang an veröffentlicht.
Meinungen der Gemeinschaft sind unterschiedlich
Certik listete die vollständige Ereigniszeile für den Vorfall auf, aber viele Gemeinden, einschließlich Sicherheitsforscher @tayvano, stellten Fragen aus.
>
Laut Certik begann die Zeit, die sie testeten und informierten, Kraken begann am 5. Juni.@Tayvano stellte jedoch nicht nur fest, dass diese Adressen über die Übertragungsadresse der Kette durch andere Handelsplattformen groß sind, sondern auch das Testverhalten von Krakens Tests wurde entwickelt, solange sie länger war.
CyverSalerts, Cyversalerts, bietet @tayvano drei Zahnadressen im Zusammenhang mit dem Ereignis:
0x3c6a231b1fffe2AC29AD9C7E392C830295A97BB3 0xDC6F6FD88075D55FF3C4F2984630C0EA776BC 0x03CB3A1F27861FFFFAFAFAFAVA56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56D3A56A56D3A56D3A56A5
>
Die oben genannten Kette große Auszahlungsaufzeichnungen.@Tayvano wies auch darauf hin, dass nach diesen Adressen eine große Menge an Fonds extrahiert hat, der maximale Wertaustausch durch die Instant Cryptocurrency Exchange -Plattform um ein Vielfaches durchgeführt wurde.
@tayvano sagte, sie habe dieses Modell oft gesehen und es als eine Möglichkeit betrachtete, die Adresse und die Hacker -Adresse des Opfers zu unterscheiden, wenn er den chaotischen Schlüssel verlässt.
>
@tayvano fand außerdem, dass 0x3c6a231b1ffe2AC29AD9C7E392C830295A97BB3 154.000 Matic nach Veränderungen übertragen wurde.
>
Das Innere von Coinbase @JConorGrogan sagte, dass die Adresse des zuständigen Personals 1200 matisch auf Tornadocash übertragen wurde, das Mittel über den Mixer austauschen sollte.
Darüber hinaus stellte@Tayvano fest, dass Certik bereits am 5. Juni von Certik durch Vergleich der Einzahlungsadresse von Certik -Sicherheitspersonal durchgeführt wurde.Wenn wir zu Certiks Zeitleiste zurückkehren, ist die sogenannte „erste Runde“ und „zweite Runde“ nicht in der ersten Runde und der zweiten Runde, eher der siebten Runde.
In dieser Hinsicht stellte Meir Dolev, der Chefentechniker des Sicherheitsunternehmens Cyvers, auch die Entdeckung von Kraken -Schwachstellen durch Certik in Frage und sagte, dass Certik vermutet habe, dass er denselben Test auf OKX und Coinbase durchgeführt habe.
Meir Dolev zitierte den von @tayvano geteilten Inhalt, nämlich: 0x1d … 7AC9 -Adresse erstellte einen Vertrag 0x45 … CEA9 am 24. Mai und verwandte Aktivitäten.
Der Verdacht auf diesen Vertrag (0x45 … CEA9) auf der Basis testet auch dieselben Tests auf OKX und Coinbase, um festzustellen, ob die beiden Börsen die gleichen Lücken in Kraken haben.
Ein weiteres Community -Mitglied bei@0xBoboshanti sagte auch, dass eine Adresse, die von Certik Security Researcher auf Twitter veröffentlicht wurde, bereits am 27. Mai durchgeführt wurde.Dies hat den Zeitplan des Vorfalls von Certik widerlegt.Certik Tornado TXS hat eine Brieftasche finanziert, die kürzlich mit demselben Vertrag interagiert hat.
Taylor Monahan, CEO und Gründer von Ethereum Wallet Manager Mycrypto, analysierte auch die Möglichkeit der Veranstaltung und sagte, dass Certik Angst vor Krakens Anwalt, Schädigung seines Rufs und der Art und Weise, wie dieser Sturm die innere interne interne Kultur von Certik beeinflussen könnte.
Sie wies auch darauf hin, dass in der Vergangenheit mehrere verschlüsselte Projekte von Certik geprüft wurden, sondern im Internet über die Möglichkeit des Betriebs des internen Personals im Internet in Umlauf gebracht wurden.
Einige gut bekannte KOL in der Branche haben unterschiedliche Ansichten vorgebracht, da Certik nicht unbedingt ein echter Hacker ist, und sie spekulieren über den Vorfall.Der verschlüsselte Forscher @boxmrchen sagte, dass es nicht unbedingt ein Hacker ist, Certik zu verstehen, aber vielleicht mehr Kopfgeld.Er hofft auch, dass Kraken bereit ist, Certik zu zahlen, wie viel weiße Hut.
Der CryptoInsigh -Forscher Haotian sagte, dass Certik die Verwundbarkeit von Kraken gefunden und berichtete, dass das Herz kein „Hacker“ -Vorfache sei.
Zusammenfassung
Für den „dunklen und tiefen Wald“ des Verschlüsselungsmarktes ist es nicht verwunderlich, dass Hacker, die Vorfälle angreifen, endlos und nicht überraschend sind, aber es ist zweifellos einfach, Kritik mit dem Banner des „weißen Hutes“ anzuziehen.Obwohl Certik sein Bestes versuchte, sein „Justiz“ -Helf -Projektparteiverhalten zu klären, muss Certik wirklich eine vernünftige Erklärung für die Frage der oben genannten Community -Mitglieder geben.
Wie Certik sagte, konnte Krakens Deep Defense -System jedoch nicht so viele Testtransaktionen feststellen, was tatsächlich zu höheren Risikoverlusten führen kann.Die beiden Seiten sollten zusammenarbeiten, um Risiken auszusetzen und die Zukunft von Web3 sicherzustellen.
