L’\u00e9change de crypto Kraken a r\u00e9v\u00e9l\u00e9 qu’un chercheur en s\u00e9curit\u00e9 anonyme avait exploit\u00e9 une faille zero-day \u00ab extr\u00eamement critique \u00bb dans sa plateforme pour voler 3 millions de dollars d’actifs num\u00e9riques et avait refus\u00e9 de les restituer.<\/p>\n
Les d\u00e9tails de l’incident ont \u00e9t\u00e9 partag\u00e9<\/a> par Nick Percoco, responsable de la s\u00e9curit\u00e9 de Kraken, sur X (anciennement Twitter), d\u00e9clarant avoir re\u00e7u une alerte du programme Bug Bounty concernant un bug qui “leur a permis de gonfler artificiellement leur solde sur notre plateforme” sans partager d’autres d\u00e9tails<\/p>\n La soci\u00e9t\u00e9 a d\u00e9clar\u00e9 avoir identifi\u00e9 un probl\u00e8me de s\u00e9curit\u00e9 quelques minutes apr\u00e8s avoir re\u00e7u l’alerte, qui permettait essentiellement \u00e0 un attaquant de \u00ab lancer un d\u00e9p\u00f4t sur notre plateforme et de recevoir des fonds sur son compte sans terminer compl\u00e8tement le d\u00e9p\u00f4t \u00bb.<\/p>\n M\u00eame si Kraken a soulign\u00e9 qu’aucun actif client n’\u00e9tait expos\u00e9 \u00e0 ce probl\u00e8me, cela aurait pu permettre \u00e0 un acteur malveillant d’imprimer des actifs sur ses comptes. Le probl\u00e8me a \u00e9t\u00e9 r\u00e9solu en 47 minutes, selon le communiqu\u00e9.<\/p>\n Il a \u00e9galement indiqu\u00e9 que la faille provenait d’un r\u00e9cent changement de l’interface utilisateur qui permet aux clients de d\u00e9poser des fonds et de les utiliser avant qu’ils ne soient compens\u00e9s.<\/p>\n De plus, une enqu\u00eate plus approfondie a r\u00e9v\u00e9l\u00e9 que trois comptes, dont celui appartenant au pr\u00e9tendu chercheur en s\u00e9curit\u00e9, avaient exploit\u00e9 la faille \u00e0 quelques jours d’intervalle et siphonn\u00e9 3 millions de dollars.<\/p>\n “Cet individu a d\u00e9couvert le bug dans notre syst\u00e8me de financement et l’a exploit\u00e9 pour cr\u00e9diter son compte de 4 $ en crypto”, a d\u00e9clar\u00e9 Percoco. “Cela aurait suffi pour prouver la faille, d\u00e9poser un rapport de bug bounty aupr\u00e8s de notre \u00e9quipe et collecter une r\u00e9compense tr\u00e8s importante selon les termes de notre programme.”<\/p>\n “Au lieu de cela, le ‘chercheur en s\u00e9curit\u00e9’ a divulgu\u00e9 ce bug \u00e0 deux autres personnes avec lesquelles ils travaillent et qui ont g\u00e9n\u00e9r\u00e9 frauduleusement des sommes beaucoup plus importantes. Ils ont finalement retir\u00e9 pr\u00e8s de 3 millions de dollars de leurs comptes Kraken. Cela provenait de la tr\u00e9sorerie de Kraken, et non des actifs d’autres clients. “<\/p>\n Dans une \u00e9trange tournure des \u00e9v\u00e9nements, apr\u00e8s avoir \u00e9t\u00e9 approch\u00e9s par Kraken pour partager leur exploit de preuve de concept (PoC) utilis\u00e9 pour cr\u00e9er l’activit\u00e9 en cha\u00eene et pour organiser le retour des fonds qu’ils avaient retir\u00e9s, ils ont plut\u00f4t exig\u00e9 que le L’entreprise prend contact avec son \u00e9quipe de d\u00e9veloppement commercial pour payer un montant fixe afin de lib\u00e9rer les actifs.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Kraken-Crypto-Exchange-touche-par-un-vol-de-3-millions.png\")
<\/a><\/center><\/div>\n