Η Kraken απορρίπτει μια εγκληματική απόπειρα εκβιασμού αφού η ακατάλληλη εσωτερική πρόσβαση εξέθεσε δεδομένα περίπου 2.000 λογαριασμών, αλλά δηλώνει ότι δεν υπάρχει συστημική παραβίαση ή κίνδυνος για τα κεφάλαια πελατών.
Περίληψη
- Η Kraken δηλώνει ότι εκβιάζεται από μια εγκληματική ομάδα που απειλεί να διαρρεύσει βίντεο πρόσβασης στο εσωτερικό σύστημα, αλλά επιμένει ότι δεν υπήρξε συστημική παραβίαση και δεν υπάρχει κίνδυνος για τα κεφάλαια πελατών.
- Το ανταλλακτήριο συνδέει το περιστατικό με ακατάλληλη πρόσβαση από άτομα που συνδέονται με την ομάδα υποστήριξης πελατών του, η οποία αφορούσε δεδομένα περίπου 2.000 λογαριασμών, περίπου το 0,02% των χρηστών.
- Ο επικεφαλής ασφαλείας Nick Percoco δηλώνει ότι η Kraken έχει διακόψει την πρόσβαση, ειδοποίησε τους επηρεαζόμενους χρήστες και συνεργάζεται με τις αρχές επιβολής του νόμου καθώς αυξάνονται οι επιθέσεις «εσωτερικής διείσδυσης + κοινωνικής μηχανικής».
Το ανταλλακτήριο κρυπτονομισμάτων Kraken δηλώνει ότι εκβιάζεται από μια εγκληματική οργάνωση που ισχυρίζεται ότι διαθέτει βίντεο που δείχνουν πρόσβαση στα εσωτερικά συστήματα της εταιρείας, αλλά έχει ορκιστεί να μην πληρώσει κανένα λύτρα και διατηρεί ότι τα κεφάλαια των πελατών παραμένουν ασφαλή. Σε δήλωση που επικαλείται το CoinDesk, η πλατφόρμα υπογράμμισε ότι δεν υπήρξε «συστημική παραβίαση» της υποδομής συναλλαγών ή των πορτοφολιών της, περιγράφοντας το περιστατικό ως στοχευμένη κατάχρηση εσωτερικής πρόσβασης και όχι ως επιτυχημένο χακάρισμα των βασικών συστημάτων.
Η Kraken δήλωσε ότι το επεισόδιο προέρχεται από ακατάλληλη πρόσβαση ατόμων που συνδέονται με τη λειτουργία εξυπηρέτησης πελατών της σε δύο ξεχωριστά περιστατικά, τα οποία μαζί εξέθεσαν περιορισμένα δεδομένα σε περίπου 2.000 λογαριασμούς, ή περίπου το 0,02% της συνολικής βάσης χρηστών της. Αυτοί οι χρήστες έχουν ειδοποιηθεί, πρόσθεσε το ανταλλακτήριο, ενώ τα εμπλεκόμενα άτομα έχουν ανακληθεί τα διαπιστευτήριά τους και αποκλειστεί από τα εσωτερικά εργαλεία καθώς η Kraken σφίγγει την παρακολούθηση και τους ελέγχους πρόσβασης.
Ο επικεφαλής ασφαλείας Nick Percoco, ο οποίος είχε προηγουμένως χαρακτηρίσει μια ξεχωριστή εκμετάλλευση 3 εκατομμυρίων δολαρίων των συστημάτων της Kraken «όχι white hat hacking, αλλά εκβιασμό», δήλωσε ότι η εταιρεία αντιμετωπίζει και πάλι τις νέες απειλές ως ποινικό θέμα και συνεργάζεται με τις αρχές επιβολής του νόμου. Είπε στους δημοσιογράφους ότι η Kraken πιστεύει ότι διαθέτει επαρκή στοιχεία «για να εντοπίσει και να βοηθήσει στη σύλληψη» των υπευθύνων της τελευταίας απόπειρας εκβιασμού και επανέλαβε ότι η πλατφόρμα δεν θα διαπραγματευτεί με δράστες που προσπαθούν να κερδοσκοπήσουν από εσωτερική πρόσβαση.
Σύμφωνα με την περιγραφή της εταιρείας, η επίθεση αντικατοπτρίζει ένα αυξανόμενο πρότυπο «εσωτερικής διείσδυσης + κοινωνικής μηχανικής», στο οποίο εξωτερικοί φορείς εργάζονται για να διακυβεύσουν ή να στρατολογήσουν άτομα εντός οργανισμών υπηρεσιών προκειμένου να αποκτήσουν πρόσβαση μόνο για ανάγνωση, υλικό αναγνώρισης ή περιορισμένα δεδομένα πελατών αντί να επιτεθούν απευθείας σε ενισχυμένα συστήματα πορτοφολιών. Νωρίτερα φέτος, μια καταχώριση στο dark web που ισχυριζόταν πρόσβαση 1 δολαρίου στον εσωτερικό πίνακα υποστήριξης της Kraken και δεδομένα KYC προκάλεσε παρόμοιες ανησυχίες, αν και το ανταλλακτήριο δεν επιβεβαίωσε παραβίαση και ερευνητές ασφαλείας προειδοποίησαν ότι ακόμη και η πρόσβαση μόνο για ανάγνωση σε εργαλεία υποστήριξης θα μπορούσε να χρησιμοποιηθεί ως όπλο για phishing και στοχευμένες απάτες.
Η νέα απόπειρα εκβιασμού έρχεται μετά από ένα ξεχωριστό περιστατικό του Μαρτίου στο οποίο ένας χρήστης της Kraken φέρεται να έχασε περίπου 7.784 ETH και 26,5 BTC — αξίας περίπου 18,2 εκατομμυρίων δολαρίων — σε ένα εξεζητημένο σχέδιο κοινωνικής μηχανικής προτού τα κεφάλαια μεταφερθούν στο HitBTC, υπογραμμίζοντας το φάσμα των απειλών που αντιμετωπίζουν τόσο οι πλατφόρμες όσο και οι πελάτες. Όπως έχουν σημειώσει η εταιρεία αναλυτικών blockchain EmberCN και άλλοι, ακόμη και όταν τα ταμεία ανταλλακτηρίων και τα hot wallets παραμένουν ανεπηρέαστα, οι αστοχίες στους ανθρώπινους ελέγχους — από την πρόσβαση υποστήριξης πελατών έως την ασφάλεια λειτουργίας χρηστών — μπορούν ακόμα να μετατραπούν σε μεγάλες απώλειες και ζημία φήμης.
Για την Kraken, η τελευταία υπόθεση είναι μια δοκιμασία αντοχής της μακροχρόνια προωθούμενης κουλτούρας ασφαλείας της, η οποία περιλαμβάνει υποχρεωτική πιστοποίηση δύο παραγόντων, υποστήριξη κλειδιού υλικού και τακτικά δημόσια μηνύματα από τον Percoco σχετικά με τις βέλτιστες πρακτικές προστασίας λογαριασμού. Για την ευρύτερη βιομηχανία, είναι μια ακόμη υπενθύμιση ότι σε μια αγορά όπου ένα μόνο διακυβευμένο διαπιστευτήριο μπορεί να κρεμάσει εκατομμύρια δολάρια μπροστά από τους επιτιθέμενους, οι μεγαλύτεροι κίνδυνοι βρίσκονται συχνά στη διασταύρωση της εσωτερικής πρόσβασης, του ανθρώπινου λάθους και του παλιομοδίτικου εκβιασμού — όχι μόνο στον κώδικα zero-day.
Πηγή: https://crypto.news/kraken-refuses-ransom-after-internal-extortion-attempt-hits-2000-accounts/
