クラーケン取引所の金庫から300万ドルの損失が報告された後、スマート・コントラクト監査人のCertiKがこの事件との関連を明らかにした。
取引プラットフォームは直ちに資金を回収しようとしたが、恐喝事件を理由に法執行機関に訴えた。
CertiKがKrakenの損失に関する見解を発表
Kraken取引所の最近の300万ドルのバグ攻撃は、スマートコントラクト監査会社であるCertiKと関連しており、CertiKはその関連性を確認しました。彼らは、数億ドルの損失につながる可能性のある一連の重大な脆弱性を発見した。
発見後、研究者たちは率先して脆弱性を調査し、3つの疑問が研究の原動力となった。
- 悪意のある行為者がKrakenアカウントへの入金取引を捏造できるか？
- 悪意のある行為者は捏造した資金を引き出すことができるか？
- 大規模な引き出し要求があった場合、どのようなリスクコントロールと資産保護が発動されるのか？
CertiKによると、この取引プラットフォームはすべてのテストに不合格であり、その結果、Krakenの「徹底した防御システムは複数の面で危険にさらされている」と結論づけました。
「我々のテスト結果によると：当社のテスト結果によると、Krakenの取引所はこれらのテストにすべて不合格であり、Krakenの防御システムが複数の面で侵害されていることを示しています。Krakenの口座には何百万ドルでも入金可能です。莫大な量の偽造暗号資産（100万ドル以上の価値）を口座から引き出し、有効な暗号資産に変換することができます。さらに悪いことに、数日間のテスト期間中、何のアラートも作動しなかった。Krakenが対応し、テストアカウントをロックしたのは、私たちが正式にインシデントを報告した数日後でした」
CertiKはこれらの調査結果をKraken Exchangeに提出し、同社のセキュリティ・チームはこれを取引プラットフォームで最も深刻な分類レベルである「クリティカル」に分類した。残念なことに、すべては法執行機関の関与を必要とする事件に発展した。
「クラーケンのセキュリティ・オペレーション・チームは、個々のCertiK従業員に対し、返済用アドレスを提供しなくても、不合理な時間で不一致の暗号資産を返済するよう脅しました。私たちの会議中に口頭で合意された内容は、その後確認されませんでした。CertiKはBeInCryptoに、「最終的に、彼らは私たちを窃盗だと公に非難し、私たちの従業員を直接脅しました。
CertiKはKrakenに対して、”Whitehat hackers “と呼ばれる彼らのペルソナに対する脅迫をやめるよう促している。スマート・コントラクト監査人は、すべてのテスト入金取引を共有している。彼らはすべての資金をKrakenのアクセス可能な口座に移したと付け加えた。
300万ドルのバグ攻撃で裁かれる 監査人
この問題に光を当てようとするCertiKの努力にもかかわらず、暗号資産コミュニティは研究者を批判し、不正行為だと非難している。あるユーザーは、”クラーケンと友好的に解決し、その後に投稿すれば、この話をめぐる感情はもっとポジティブになっただろう “と見ている。
開発者であるUttam Singhのこの出来事に関する要約は、CertiKに対してさらにケースを傾かせるいくつかの側面を嘲笑している。同氏が強調しているのは、研究者が複数の取引を行ったこと、そして公開までに5日間待ったことだ。
CyversのCTO Meir Dolevによると、Certik関連のアドレスが5月24日にCoinbase Layer-2ネットワークBase上でコントラクトを作成した。これは、脆弱性が6月5日に発見されたというCertikの主張に疑問を投げかけた。伝えられるところによると、このアドレスはOKXとCoinbaseにもKrakenと同じ脆弱性があるかどうかをテストしている。
英語で読む：暗号資産セキュリティの欠陥トップ5とその回避方法
コミュニティの反応によると、この行動はホワイトハットのセキュリティ・リサーチではないというのが一般的な見方で、ソーシャルメディアではオンチェーンの証拠が挙げられている。とはいえ、これによってCertiKのシリーズB3資金調達ラウンドが頓挫することはなかった。
この資金調達ラウンドのリーダーには、インサイト・パートナーズ、タイガー・グローバル、アドベント・インターナショナルが名を連ねている。ゴールドマン・サックス、セコイア、ライトスピード・ベンチャー・パートナーズも参加した。特筆すべきは、CertiKが9ヶ月で4回目の資金調達を行い、総額2億3,000万ドルを調達したことである。
Follow us on:
X（Twitter）：@BeInCryptoJapan
Telegramチャンネル：@BeInCrypto Japan オフィシャルチャンネル
免責事項 - Disclaimers
当ウェブサイトに掲載されているすべての情報は、誠意をもって作成され、一般的な情報提供のみを目的としています。当ウェブサイトに掲載されている情報に基づいて行う一切の行為については、読者ご自身の責任において行っていただきますようお願いいたします。
