CertiK: تعرض للتهديد من قبل فريق العمليات الأمنية في Kraken بعد الإبلاغ عن الثغرة الأمنية

المصدر: مجتمع CertiK الصيني

اكتشفت CertiK مؤخرًا سلسلة من الثغرات الأمنية الخطيرة في بورصة Kraken، والتي قد تؤدي إلى خسائر بمئات الملايين من الدولارات .

نظرة عامة على الحادث

بدءًا من اكتشاف أن نظام إيداع البورصة في Kraken قد لا يكون قادرًا على التمييز بين حالات التحويل الداخلي المختلفة، أجرت CertiK تحقيقًا شاملاً وأثارت ثلاثة أسئلة رئيسية:< /p> p>

1. هل يمكن لممثل خبيث تزييف معاملة إيداع في حساب Kraken؟

2. هل يمكن للجهات الخبيثة سحب الأموال المزيفة؟

3. ما هي إجراءات التحكم في المخاطر وحماية الأصول التي سيتم تفعيلها عند تقديم طلب سحب كبير؟

وفقًا لنتائج الاختبار، فشلت بورصة Kraken في جميع هذه الاختبارات، مما يشير إلى أن نظام الدفاع المتعمق الخاص بـ Kraken قد تعرض للاختراق على جبهات متعددة بملايين الدولارات؛ المودعة في أي حساب كراكن. يمكن سحب كميات كبيرة من العملات المشفرة المزيفة (التي تزيد قيمتها عن مليون دولار) من الحسابات وتحويلها إلى عملات مشفرة صالحة. ومما زاد الطين بلة، أنه خلال فترة الاختبار التي استمرت عدة أيام، لم يتم إطلاق أي إنذارات. لقد مرت أيام بعد أن أبلغنا رسميًا بالحادثة حتى استجابت Kraken وأغلقت الحساب التجريبي.

بعد الاكتشاف، أبلغت CertiK Kraken، وصنفه فريقها الأمني ​​على أنه "حرج": وهو مستوى التصنيف الأكثر خطورة في Kraken. بعد تحديد الثغرة الأمنية وإصلاحها بنجاح في البداية، هدد فريق العمليات الأمنية في Kraken موظفي CertiK الأفراد بسداد مبالغ غير متطابقة من العملة المشفرة خلال فترة زمنية غير معقولة، حتى دون تقديم عنوان سداد.

الإفصاح عن التفاصيل

لكي يتمكن المجتمع من الحصول على فهم أكثر شفافية للحادث بأكمله، توفر CertiK جدولًا زمنيًا للحادث وتفاصيل معاملة الإيداع التجريبي:

من بينهم، أشار CertiK إلى:

• حقائق عملية White Hat: تم سك ملايين الدولارات من العملات المشفرة من لا شيء، ولم يتم إشراك أي أصول حقيقية لمستخدمي Kraken في النشاط البحثي .

• مشكلات أمنية أكثر خطورة: على مدار عدة أيام، تم إنشاء العديد من الرموز المميزة المزيفة وسحبها إلى عملات مشفرة صالحة حتى قبل تقرير CertiK، ولم يتم تفعيل أي آليات للتحكم في المخاطر أو الوقاية منها.

• السؤال الحقيقي: لماذا فشل نظام الدفاع المتعمق في Kraken في اكتشاف العديد من المعاملات الاختبارية. تعد عمليات السحب الكبيرة المستمرة من حسابات الاختبار المختلفة جزءًا من حدود نظام اختبار CertiK.

الاستنتاج

بروح الشفافية والالتزام تجاه مجتمع Web3، اختارت CertiK جعل هذه المسألة عامة لحماية أمن جميع المستخدمين. . تحث CertiK بورصة Kraken على إيقاف أي تهديدات ضد قراصنة القبعة البيضاء والعمل معًا لمواجهة المخاطر وتأمين مستقبل Web3.