CertiK explica su postura de piratería ética, Kraken admite la devolución total de los fondos

CertiK, la empresa de seguridad trac inteligentes, continúa afirmando que sus acciones contra el intercambio Kraken fueron éticas y que estaba tratando de estimar el alcance total de las fallas de seguridad. Los evaluadores también afirman que devolvieron todos los fondos en especie y no extorsionaron a Kraken. El equipo de CertiK desarrolló una nueva declaración para refutar algunas afirmaciones anteriores de Kraken. Los evaluadores negaron las demandas de recompensa y afirmaron que su prioridad era solucionar la vulnerabilidad de poder imprimir fondos en una cuenta. Leer: Kraken recupera 3 millones de dólares a medida que aumentan las críticas contra Certik Todos los fondos retirados provinieron de las billeteras frías de Kraken y ninguna cuenta de usuario se vio afectada. Las monedas fueron devueltas según los propios cálculos y registros de transacciones de CertiK. Preguntas y respuestas sobre las operaciones recientes de Whitehat de CertiK-Kraken: 1. ¿Algún usuario real perdió fondos? No. Las criptomonedas se crearon de la nada y ningún activo real de usuario de Kraken estuvo directamente involucrado en nuestras actividades de investigación. 2. ¿Nos hemos negado a devolver los fondos? No. En nuestra comunicación con… – CertiK (@CertiK) 20 de junio de 2024 La acción más controvertida de CertiK incluyó registros de envío de algunos fondos a Tornado Cash . El mezclador de monedas se ha enfrentado a sanciones anteriores del Departamento del Tesoro de EE. UU., que prohibía a las personas domiciliadas en EE. UU. interactuar con él. CertiK conoce muy bien el uso de Tornado Cash e incluyó las transferencias como prueba de su hazaña. Anteriormente, CertiK también había trac el uso de Tornado Cash como parte de exploits más antiguos. Uno de los principales objetivos de Certik sigue siendo la auditoría de trac inteligentes, que a menudo contienen fallos lógicos similares que conducen a la creación ilimitada de tokens. El enfoque de CertiK hacia el hacking ético desconcertó a los observadores, ya que se enviaron pequeñas sumas directamente a Tornado Cash para probar el exploit. Algunos pasos del proceso de prueba de Kraken se filtraron en las redes sociales antes de que Kraken finalmente le notificara el tamaño real del exploit. La cuestión de la recompensa por errores no se ha discutido, pero CertiK sigue afirmando que no necesitaba una recompensa para devolver los fondos. Hasta ahora, el equipo de seguridad de Kraken no ha anunciado ninguna recompensa por CertiK. Kraken admite haber recibido todos los fondos CertiK generó saldos en la plataforma centralizada Kraken y realizó retiros en nombre de esas cuentas. Las afirmaciones de Kraken de que CertiK era inexacta en sus resultados fueron las más controvertidas. Sin embargo, esto fue desmentido unos días después. El director de seguridad de Kraken, Nick Percoco, anunció que los fondos fueron devueltos en su totalidad menos las tarifas de transacción. Actualización: ahora podemos confirmar que los fondos han sido devueltos (menos una pequeña cantidad perdida por tarifas). https://t.co/cHkjPt3m2A – Nick Percoco (@c7five) 20 de junio de 2024 La contabilidad de CertiK informó retiros de solo ETH, USDT y XMR, mientras que Kraken también afirmó que también se retiraron y mezclaron 155.818,44 MATIC . Los retiros se estimaron en alrededor de 3 millones de dólares, aunque Certik utilizó una pequeña suma para demostrar el exploit. Un análisis más detallado del exploit mostró que CertiK generó saldos MATIC inexistentes, pero las transacciones fallaron y ningún fondo salió de las billeteras frías de Kraken. El MATIC generado fue solo un exploit interno que no resultó en la transferencia de tokens Polygon reales. #Certik : A primera vista, parece que el exploit de Certik consiste en: 1. Crear un trac y depositar fondos en él 2. Generando el evento LogFeeTransfer() 3. @krakenfx escanea LogFeeTransfer() en sus direcciones de depósito y no parece verificar si los MATIC están realmente allí pic.twitter.com/QI4bdXJdbz – Naïm Boubziz (@BrutalTrade) 20 de junio de 2024 En algunos casos, se puede simular la presencia de fondos, ya que otros protocolos han sido atacados con préstamos flash. CertiK afirmó que los exploits volvieron a aumentar en junio, con más de 30 millones de dólares extraídos de aplicaciones y protocolos. El recuento no incluye ataques contra billeteras individuales. Tornado Cash sigue operativo años después de las sanciones El mezclador Tornado Cash sigue facilitando exploits, ya que los fondos no se pueden trac después de pasar por el mezclador. Incluso después de incluir billeteras y direcciones en la lista negra, no hay nada que impida a los piratas informáticos mezclar ETH y enviarlo a nuevas billeteras desconocidas. Lea también: Grupo detrás de la demanda de Tornado Cash pierde ante el Tesoro de EE.UU. Desde 2022, Tornado Cash tiene recursos limitados, pero el servicio sigue operativo. El fundador de Tornado Cash , Alexey Pertsev, recibió una sentencia en mayo de 2024, con posibles años tras las rejas. Sin embargo, las sanciones y prohibiciones no impiden que nadie utilice el mezclador, lo que no afecta a jurisdicciones fuera de EE. UU. Algunas monedas, como el USDC, han incluido en la lista negra todos los trac de Tornado Cash . Los fondos enviados al trac no se pueden recuperar nuevamente. El USDC también es conocido por su capacidad centralizada para congelar monedas. Para Kraken, la capacidad de realizar retiros a una dirección trac de Tornado Cash también fue una vulnerabilidad importante. La mayoría de los productores de tokens optan por no ejercer control sobre los tokens, dejándolos vulnerables al robo e irrecuperables mediante la mezcla. Informe criptopolitano de Hristina Vasileva

Fuente