A exchange de criptomoedas Kraken afirmou nesta quarta-feira (19) que “pesquisadores de segurança” encontraram no início deste mês uma vulnerabilidade na plataforma que permitiu que eles desviassem US$ 3 milhões (R$ 16,4 milhões) do tesouro da entidade.
Alertada pelos mesmos, que descreveram a falha como um “bug extremamente crítico”, a equipe então passou a ser extorquida com as exigências dos exploradores.
A revelação foi feita pelo diretor de segurança da empresa, Nick Percoco, em um post no X, revelando que o bug permitiu que um invasor mal-intencionado, sob um conjunto específico de circunstâncias, iniciasse um depósito e recebesse os fundos mesmo sem concluir a operação.
A falha, que em resumo permitia “inflacionar saldos artificialmente”, já foi corrigida. Segundo o diretor, a vulnerabilidade decorreu de uma mudança recente na UX (experiência do usuário) da plataforma que creditaria prontamente as contas dos clientes antes que seus ativos fossem compensados — permitindo que os clientes negociassem efetivamente nos mercados de cripto em tempo real.
“Essa mudança de UX não foi testada exaustivamente contra esse vetor de ataque específico”, explicou o diretor.
Extorsão na Kraken
Segundo Percoco, quando a equipe da Kraken solicitou a devolução dos fundos e um relatório de como eles agiram, os pesquisadores teriam negado, exigindo uma ligação com a equipe de desenvolvedores da Kraken, indo de encontro a procedimentos internos sobre recompensa por bugs.
Leia Também
O objetivo, diz Percoco, era para eles avaliarem juntos o quanto valeria em dólares o achado do bug, ou seja, “o que esse bug poderia ter causado se eles não o tivessem divulgado”. “Isso não é white hacking, é extorsão!”, denunciou o diretor.
“Estamos tratando isso como um caso criminal e estamos coordenando com as agências de aplicação da lei nesse sentido”, escreveu Perroco. “Estamos gratos por este problema ter sido relatado, mas é aí que esse pensamento termina.”
“Este não era um bug simples do dia a dia que qualquer um pudesse explorar”, disse em um email ao Decrypt Alexander Cassells, líder de comunicações da Kraken.
“Foi necessária uma boa quantidade de experiência em casos extremos da rede para descobrir, evidenciado pelo fato de que ninguém descobriu esse problema até recentemente.”
- Quer ter a chance de ganhar 1 ethereum (ETH)? Abra sua conta grátis no Mercado Bitcoin e comece a negociar o quanto antes.
