脅威アクターがダークウェブのフォーラムで、クラーケンの内部管理パネルへの閲覧専用アクセス権を販売していると報じられている。
この事案は、ユーザーデータの流出や標的型のフィッシング攻撃リスクへの懸念を高めている。
Sponsoredクラーケン管理画面流出疑惑 ダークウェブ投稿で安全性懸念
Dark Web Informerによると、この出品はユーザープロファイル、取引履歴、KYC書類一式（本人確認書類、自撮り写真、住所証明、資金源情報など）を閲覧できると謳っている。
販売者は、アクセス権が1〜2か月間持続し、プロキシ経由でIP制限はなく、サポートチケットの発行機能も含まれると主張している。
この出品はセキュリティ専門家の間で即座に懸念を呼んだが、一部のオンラインユーザーは依然として懐疑的である。
「ほぼ間違いなく偽物だ」とあるユーザーが指摘し、アクセスの真正性に疑問を呈した。
一方、仮に本物であればデータ流出によりクラーケンの利用者が重大な危険にさらされると警告し、取引所や当局へ迅速な調査を求める声もある。
Sponsored Sponsored「もし本当なら、クラーケン利用者にとって重大なデータ流出とフィッシングリスクだ。クラーケンのセキュリティや法執行機関は即時対応が必要」と別のユーザーが述べた。
実際、この情報は非常に巧妙なソーシャルエンジニアリング攻撃にも悪用され得る。クラーケンはBeInCryptoのコメント要請に即答しなかった。
閲覧専用アクセスも危険性 CIFERがKrakenパネルのリスク指摘
CIFER Securityは読み取り専用であっても深刻な影響が生じ得ると強調する。攻撃者はアカウントを直接改ざんできなくても、サポートチケット機能を利用し以下の行為が可能となる：
- クラーケンのスタッフになりすます
- 実際の取引詳細を持ち出し信頼を得る
- 取引履歴から高額利用者を特定しターゲット化する
取引パターンやウォレットアドレス、入出金行動への完全なアクセスは、フィッシングやSIMスワップ、クレデンシャルスタッフィングなど多様な攻撃へ利用可能となり、被害がアカウント流出以上に広がる恐れがある。
管理パネルの侵害は暗号資産業界では新しいものではない。マウントゴックス（2014年）、バイナンス（2019年）、クーコイン（2020年）、クリプトドットコム（2022年）、FTX（2022年）なども内部システムを標的にした攻撃に見舞われている。このことは、高権限を持つ中央集権的な管理ツールが主要な標的となり続けている現状を示している。
クラーケンで報じられた今回の情報流出も、こうした広範な傾向と一致し、金融サービス分野における特権アクセス保護の困難さを浮き彫りにする。
クラーケン利用者が取るべき対応
CIFER Securityは潜在的な流出を前提とした即時の保護策を勧めている。たとえば：
- ハードウェアキーによる認証の有効化
- グローバル設定ロックの活用
- 出金先アドレスのホワイトリスト化
- サポート対応時の厳重な注意
ユーザーはSIMスワップ攻撃や不審なパスワードリセット、その他の標的型攻撃にも注意し、大口資産はハードウェアウォレットや、流出した履歴に載らない新規アドレスへ移動することも検討すべきである。
今回の事案は中央集権型カストディの本質的なリスクを浮き彫りにする。取引所は設計上、機密性の高い顧客データを管理画面に集中させており、単一障害点を生んでいる。
CIFERが指摘するように、より強固な設計とは、役割ベースのアクセス管理、必要時のみの権限付与、データマスキング、セッション記録、恒常的権限の廃止などを通じ、万一の被害範囲を最小化することにある。
クラーケンは、報道が事実であれば、侵入経路が流出した認証情報なのか、内部関係者によるものか、外部委託先か、セッションハイジャックかを特定する急務がある。
やはり事実であれば、あらゆる管理者権限の一括変更やアクセスログの洗い出し、利用者への透明な情報開示などが必要となる。
迅速かつ透明性ある対応は、中央集権リスクと暗号資産の分散化という理念が交錯するこの業界で、信頼維持につながる。
