Krakenが内部恐喝未遂で2,000アカウントが影響を受けた後、身代金の支払いを拒否

Krakenは、不適切な内部アクセスにより約2,000件のアカウントのデータが流出した後、犯罪的な恐喝の試みを拒否したが、システム的な侵害や顧客資金のリスクはないと述べている。

暗号資産取引所Krakenは、同社の内部システムへのアクセスを示す動画を持っていると主張する犯罪組織から恐喝されていると述べているが、身代金を支払わないことを誓約し、顧客資金は安全であると主張している。CoinDeskが引用した声明の中で、このプラットフォームは、取引インフラやウォレットに「システム的な侵害はなかった」ことを強調し、この事件をコアシステムへの成功したハッキングではなく、内部アクセスの標的型悪用と説明している。

Krakenは、この事件は2つの別々のインシデントでカスタマーサービス業務に関連する個人による不適切なアクセスに起因しており、合わせて約2,000件のアカウント、つまり全ユーザー様ベースの約0.02%の限定的なデータが流出したと述べている。これらのユーザー様には通知済みであり、関係者は認証情報を取り消され、Krakenが監視とアクセス制御を強化する中、内部ツールへのアクセスを遮断されたと取引所は付け加えた。

最高セキュリティー責任者のNick Percocoは、以前にKrakenのシステムに対する別の300万ドルの攻撃を「ホワイトハットハッキングではなく、恐喝だ」と呼んでいたが、同社は再び新たな脅威を刑事事件として扱い、法執行機関と協力していると述べた。彼は記者団に、Krakenは最新の恐喝の試みの背後にいる人物を「特定し、逮捕を支援する」のに十分な証拠を持っていると考えており、内部アクセスを収益化しようとする行為者とは交渉しないと改めて強調した。

同社の説明によれば、この攻撃は「内部潜入+ソーシャルエンジニアリング」の増加傾向を反映しており、外部者がサービス組織内の人物を侵害または勧誘して、強化されたウォレットシステムを直接攻撃するのではなく、読み取り専用アクセス、偵察映像、または限定的な顧客データを取得しようとするものである。今年初め、Krakenの内部サポートパネルとKYC認証済みアカウントデータへの1ドルアクセスを主張するダークウェブのリストが同様の懸念を引き起こしたが、取引所は侵害を確認せず、セキュリティー研究者は、サポートツールへの読み取り専用アクセスでさえフィッシングや標的型詐欺に武器化される可能性があると警告した。

この新たな恐喝の試みは、3月の別のインシデントの後に発生しており、そのインシデントでは、Krakenユーザー様が洗練されたソーシャルエンジニアリングスキームで約7,784 ETHと26.5 BTC(約1,820万ドル相当)を失い、資金がHitBTCに移動される前に、プラットフォームと顧客の両方が直面する脅威の範囲を浮き彫りにした。ブロックチェーン分析会社EmberCNなどが指摘しているように、取引所の資産とホットウォレットが侵害されていない場合でも、カスタマーサポートアクセスからユーザー様の運用セキュリティーまで、人的管理の不備は依然として大きな損失と評判の損害につながる可能性がある。

Krakenにとって、今回のケースは、必須の2段階認証、ハードウェアキーサポート、およびアカウントセキュリティー保護のベストプラクティスに関するPercocoからの定期的な公開メッセージを含む、長年推進してきたセキュリティー文化のストレステストである。より広範な業界にとって、これは、単一の侵害された認証情報が攻撃者の前に数百万ドルをぶら下げる可能性がある市場において、最大のリスクはゼロデイコードだけでなく、内部アクセス、人的エラー、そして昔ながらの恐喝の交差点に存在することが多いという、もう一つのリマインダーである。