CertiK: 크라켄의 보안 운영팀에 취약점을 보고한 후 협박을 당한 보안팀

출처: CertiK 중국 커뮤니티

CertiK는 최근 크라켄 거래소에서 수억 달러의 손실로 이어질 수 있는 일련의 심각한 취약점을 발견했습니다.

사고 개요

크라켄 거래소 입금 시스템이 서로 다른 내부 이체 상태를 구분하지 못할 수 있다는 발견을 시작으로, CertiK는 세 가지 주요 질문을 제기하는 포괄적인 조사를 진행했습니다.

1. 악의적인 공격자가 크라켄 거래소로 크라켄 계정으로 입금 거래를 위조할 수 있나요?

2. 악의적인 공격자가 위조한 자금을 인출할 수 있나요?

3. 대규모 출금 요청이 발생할 경우 어떤 위험 통제 및 자산 보호 조치가 발동되나요?

테스트 결과에 따르면 크라켄 거래소는 이 모든 테스트에 실패했으며, 이는 크라켄의 심층 방어 시스템이 여러 측면에서 취약하다는 것을 의미하며, 수백만 달러가 크라켄 계정에 입금될 수 있음을 시사합니다. 대량의 위조 암호화폐(100만 달러 이상 가치)가 계정에서 인출되어 유효한 암호화폐로 전환될 수 있습니다. 설상가상으로 며칠에 걸친 테스트 기간 동안 어떠한 경고도 발동되지 않았습니다. 크라켄은 저희가 이 사건을 공식적으로 보고한 지 며칠 후에야 대응하여 테스트 계정을 잠갔습니다.

발견 후 CertiK는 크라켄에 알렸고, 크라켄의 보안팀은 이를 크라켄의 가장 심각한 분류 수준인 "심각"으로 분류했습니다. 처음에 취약점을 식별하고 수정한 후, 크라켄의 보안 운영팀은 상환 주소도 제공하지 않은 채로 불합리한 시간 내에 잘못된 암호화폐를 상환하겠다고 개별 CertiK 직원을 협박했습니다.

세부 정보 공개

커뮤니티가 사건의 전체 상황을 보다 투명하게 파악할 수 있도록 CertiK는 사건의 타임라인과 테스트 입금 거래 내역을 제공했습니다.

• 사건 발생 시간

  

• 테스트 입금 거래 세부 정보

  

  

서티케이는 다음과 같이 명시하고 있습니다.

• 화이트 햇 작전에 대한 사실: 수백만 달러의 암호화폐가 허공에서 발행되었으며, 실제 크라켄 사용자 자산은 연구 캠페인에 관여하지 않았습니다.

• 보다 심각한 보안 문제: 며칠 동안 많은 위조 토큰이 생성되고 유효한 암호화폐로 인출되었으며, CertiK 보고서가 나올 때까지 어떠한 위험 통제나 예방 메커니즘도 작동하지 않았습니다.

• 진짜 질문: 크라켄의 수직적 방어 시스템이 왜 그렇게 많은 테스트 거래를 감지하지 못했을까요? 여러 테스트 계정에서 연속적인 대규모 인출은 CertiK 테스트 시스템의 한계 중 일부입니다.

결론

웹3 커뮤니티에 대한 투명성과 약속의 정신으로 CertiK는 모든 사용자의 보안을 보호하기 위해 이 문제를 공개하기로 결정했습니다. CertiK는 크라켄 거래소가 화이트 햇 해커에 대한 위협을 중단하고 함께 위험을 직면하고 웹3의 미래를 보호하기 위해 노력할 것을 촉구하는 바입니다.