Сообщество криптовалют обсуждает контроверсию, вызванную недавним раскрытием серьезных уязвимостей в одной из ведущих криптовалютных бирж мира - Kraken - компанией CertiK. Обнаружение вызвало бурное обсуждение ответственного подхода к таким открытиям.
Исследование CertiK выявило серьезные недочеты в системах Kraken, что могло привести к потере сотен миллионов долларов на бирже. 5 июня CertiK обнаружила уязвимости, но не сразу сообщила об этом Kraken. Связь между CertiK и Kraken была установлена только 10 июня через Twitter, т.е. спустя пять дней после обнаружения. Эта задержка указывает на недостатки мониторинга со стороны Kraken на тот момент. Однако, после получения отчёта, Kraken оперативно реагировал и принял меры к 12 июня.
Возникли расхождения в информации между CertiK и Kraken относительно первичного контакта и ответов. Kraken утверждает о первом контакте 9 июня, в то время как CertiK заявляет об инициировании контакта 10 июня и получении ответа 11 июня.
Результаты исследования CertiK: уязвимость безопасности Kraken
Исследование CertiK выявило три ключевые уязвимости:
-
Недостатки в системе депозитов: Система Kraken не могла различить различные статусы внутренних трансферов, что могло позволить подделку депозитных транзакций.
-
Вывод поддельных средств: Злоумышленники могли вывести поддельные средства и конвертировать их в легитимные криптовалюты.
-
Сбои в системе контроля рисков: Системы контроля рисков и защиты активов Kraken не активировали оповещения при крупных запросах на вывод.
Тесты CertiK выявили компрометацию безопасности Kraken, что позволяло депонировать миллионы долларов на любой счёт Kraken и вывести более $1 миллиона поддельной криптовалюты без срабатывания оповещений.
Ответ Kraken получил как похвалу, так и критику. Хотя они действовали оперативно после уведомления, возникли вопросы о их первоначальных процессах обнаружения и мониторинга. Более того, обвинения Kraken в угрозах сотрудникам CertiK из-за раскрытия добавили ещё один слой контроверзии. Критики утверждают, что если уязвимости были критическими, Kraken должен был быть более проактивным в их обнаружении и устранении.
С другой стороны, подход CertiK, который включал проведение многочисленных тестовых транзакций с крупными суммами и использование Tornado Cash, также столкнулся с критикой. Некоторые считают, что эти действия граничат с эксплуатацией, а не с этическим исследованием безопасности, сравнивая их с кражей и вымогательством.
Позиция Kraken и дальнейшие шаги
Kraken уточнил, что их Программа наград за нахождение ошибок создана для улучшения безопасности и зависит от этического поведения исследователей. По словам руководителя безопасности Kraken, действия исследователей CertiK нарушили правила программы и являются преступным поведением. Kraken теперь рассматривает этот инцидент как уголовное дело и сотрудничает с правоохранительными органами.
Kraken подчеркнул, что это нарушение - изолированный случай, и что они продолжат работу с этическими исследователями для улучшения безопасности криптовалютной экосистемы.
Пока стороны высказывают свои аргументы, сообщество криптовалют остается разделенным. Данная контроверзия подчеркивает сложности обеспечения безопасности в динамичном мире криптовалют и подчеркивает важность этического поведения и прозрачности как со стороны исследователей безопасности, так и со стороны бирж.
