来源:CertiK中文社区
CertiK近期在Kraken交易所发现了一系列的严重漏洞,这些漏洞可能潜在地导致数亿美元的损失。
从发现 Kraken交易所 存款系统可能无法区分不同的内部转账状态开始,CertiK进行了全面的调查,并提出了三个关键问题:
恶意行为者能否伪造一笔存款交易到Kraken账户?
恶意行为者能否提取伪造的资金?
在大额提款请求时,会触发哪些风险控制和资产保护措施?
根据测试结果,Kraken交易所未通过所有这些测试,这表明Kraken的纵深防御系统在多个方面都受到了威胁;数百万美元可以存入任何Kraken账户。从账户中可以提取大量伪造的加密货币(价值超过100万美元),并将其转换为有效的加密货币。更糟糕的是,在为期数天的测试期间,没有触发任何警报。在我们正式报告事件几天后,Kraken才做出回应并锁定了测试账户。
发现后,CertiK通知了Kraken,其安全团队将其分类为“Critical”:这是Kraken最严重的分类级别。在初步成功识别和修复漏洞后,Kraken的安全运营团队却威胁个别CertiK员工,在不合理的时间内偿还金额不匹配的加密货币,甚至没有提供还款地址。
为了社区可以更透明地了解事件全貌,CertiK提供了事件发生时间线以及测试存款交易明细:
事件发生时间
测试存款交易明细
其中,CertiK指出:
白帽行动的事实:数百万美金的加密货币是凭空铸造的,在研究活动中,没有真正的Kraken用户资产被涉及。
更严重的安全问题:在几天的时间里,许多伪造的代币被生成并提现为有效的加密货币,直到CertiK报告之前,没有任何风险控制或预防机制被触发。
真正的问题:为什么Kraken的纵深防御系统未能检测到如此多的测试交易。从不同的测试账户中连续大额提现,是CertiK测试系统极限的一部分。
本着透明的精神和对Web3社区的承诺,CertiK选择公开此事以保护所有用户的安全。CertiK敦促 Kraken交易所停止对白帽黑客的任何威胁,携手合作,共同面对风险,保障Web3的未来。
声明:本文由入驻金色财经的作者撰写,观点仅代表作者本人,绝不代表金色财经赞同其观点或证实其描述。
提示:投资有风险,入市须谨慎。本资讯不作为投资理财建议。
金色财经
Block unicorn
Biteye
道说区块链
YoubiCapitai
金色精选