Отчет CertiK об уязвимости вызвал разногласия с Kraken
Компания CertiK, специализирующаяся на безопасности блокчейна, недавно раскрыла критическую уязвимость в системе депозитов Kraken, что вызвало жаркий спор между двумя организациями. CertiK сообщила, что ее команда обнаружила проблему 5 июня, отметив, что система не различает различные статусы внутренних переводов. Этот недостаток потенциально позволял злоумышленникам подделывать депозитные транзакции и выводить несуществующие средства, представляя значительный риск для безопасности Kraken.
Последующие тесты CertiK показали, что на счета Kraken могли быть зачислены миллионы долларов, а более 1 миллиона долларов в сфабрикованных криптовалютах могли быть выведены без каких-либо предупреждений. Компания сообщила об этом Kraken 10 июня, в результате чего биржа подтвердила и устранила уязвимость к 12 июня. Однако напряженность усилилась, когда 18 июня Kraken якобы стала угрожать сотрудникам CertiK, требуя вернуть деньги без предоставления адресов соответствующих кошельков. CertiK опровергла обвинения в вымогательстве и заявила, что вернет средства, использованные для тестирования, на указанный адрес кошелька, поскольку Kraken не предоставила новый адрес.
Директор по безопасности Kraken Ник Перкоко подтвердил, что из-за уязвимости было похищено около 3 миллионов долларов. Он раскритиковал подход CertiK, утверждая, что исследователи потребовали спекулятивную сумму за потенциальный ущерб вместо того, чтобы следовать стандартным протоколам bug bounty. Эта ситуация высветила этические проблемы в индустрии кибербезопасности, особенно в том, что касается обработки раскрытия информации об уязвимостях и ожиданий относительно вознаграждения за выявление таких критических проблем.