O roubo de US$ 3 milhões da exchange Kraken deixa a CertiK se sentindo ‘ameaçada’

O bug do Kraken levou a um roubo de US$ 3 milhões, gerando polêmica sobre práticas de segurança.
CertiK criticou as exigências de reembolso da Kraken pós-vulnerabilidade, aumentando as incertezas da exchange.

Como analista experiente, considero bastante alarmante o recente incidente de Kraken envolvendo um roubo de US$ 3 milhões devido a um bug em seu sistema. A situação gerou polêmica e incerteza na comunidade das criptomoedas, especialmente com o anúncio público da CertiK identificando-se como o “pesquisador de segurança” por trás do problema.

Oi pessoal! Você já cansou de viver na pobreza enquanto as criptomoedas estão curtindo uma vida de luxo? Então junte-se ao nosso canal @Crypnoticias no Telegram, onde compartilhamos notícias sobre criptomoedas em português - porque quem precisa de dinheiro de verdade quando você pode nadar em Dogecoins? Venha para o lado selvagem da especulação financeira, onde o único risco é perder tudo... ou ganhar um foguete para a lua! 😂💰🚀

☞ Junte-se ao Telegram

Como analista do mercado de criptomoedas, fiquei surpreso quando Kraken, uma importante plataforma de negociação de ativos digitais, divulgou no dia 19 de junho que havia identificado uma falha técnica que permitia aos usuários adicionar fundos involuntariamente às suas contas durante um longo período.

Uma vulnerabilidade de segurança, considerada “extremamente crítica”, foi trazida à atenção de Kraken por um pesquisador.

Troca de Kraken embaralhada?

Como analista de segurança, já me deparei com situações em que falhas de software resultaram em perdas financeiras significativas. Neste caso específico, um bug infeliz fez com que mais de US$ 3 milhões em ativos digitais fossem retirados, gerando atenção generalizada. Em resposta a este incidente, Nicholas Percoco, diretor de segurança da Kraken, recorreu ao X (anteriormente conhecido como Twitter), para partilhar a sua perspectiva sobre o assunto.

Após esta ocorrência, nossa empresa afirmou que nenhum patrimônio do cliente havia sido colocado em perigo. De acordo com a Percoco, os usuários poderiam adicionar fundos às suas contas Kraken iniciando o processo de depósito, mas não necessariamente finalizando-o. Ele esclareceu esse ponto afirmando:

Um ator mal-intencionado pode transferir ativos de forma fraudulenta para sua conta Kraken durante um período específico.

Como pesquisador de segurança, descobri uma vulnerabilidade que me permitiu adicionar apenas US$ 4 em criptomoeda à minha conta. Com esta descoberta pequena, mas significativa, consegui divulgar o problema de forma responsável e receber minha recompensa.

Em vez de divulgar o assunto, o pesquisador confidenciou a dois colegas que retiraram aproximadamente US$ 3 milhões da Kraken.

Abordando as preocupações dos usuários em torno do problema, afirmou Kraken,

“Isto veio do tesouro da Kraken, não de outros ativos do cliente.”

Resposta inesperada dos pesquisadores

Como investidor em criptografia, posso dizer que quando Kraken solicitou aos pesquisadores que devolvessem os fundos e divulgassem os detalhes da vulnerabilidade descoberta, que é um procedimento típico para esquemas de recompensas por bugs, eles se recusaram a obedecer.

A isso, Percoco respondeu,

Expressando sua frustração com o mesmo, o CSO da Kraken disse:

“É surpreendente que estejamos sendo criticados por pedir a ‘hackers éticos’ que devolvam o que supostamente tiraram de nós.”

CertiK: O pesquisador de segurança

No entanto, as coisas pioraram quando a empresa de segurança blockchain CertiK fez seu anúncio como a entidade responsável por levantar questões de segurança. Eles declararam,

“Após as vitórias iniciais na localização e resolução de vulnerabilidades, a equipe de segurança da Kraken teria exigido que funcionários específicos da CertiK reembolsassem uma quantidade DESPROPORCIONAL de criptomoeda dentro de um prazo IMPRÁTICO, sem fornecer quaisquer instruções de reembolso.”

A princípio, isso recebeu um feedback desfavorável, segundo Lefteris Karapetsas, fundador do Rotkiapp, que destacou isso.

Embora a CertiK tenha um forte histórico de localização de vulnerabilidades, os resultados finais da troca ainda são imprevisíveis.

2024-06-20 16:07