Last Updated on 2024-06-20 04:06 by 門倉 朋宏
暗号通貨取引所Krakenは、プラットフォーム上の脆弱性を発見した「セキュリティ研究者」が約300万ドルを取引所の財務から引き出した後、「恐喝」に転じたと述べました。Krakenのチーフセキュリティオフィサー、Nick Percocoは、6月9日にセキュリティ研究者からバグ報奨金プログラムを通じて、ユーザーが自分の残高を人為的に増加させることを可能にする脆弱性について警告を受けたとソーシャルメディアプラットフォームX（旧Twitter）上で投稿しました。このバグは、「適切な条件下で悪意のある攻撃者が当社のプラットフォームに預金を開始し、預金を完全に完了させずにそのアカウントに資金を受け取る」ことを可能にしました。
Krakenはこの報告を受けて迅速に問題を修正し、ユーザーの資金には影響がなかったとPercocoは述べています。しかし、その後の出来事がKrakenのチームに警戒心を抱かせました。このセキュリティ研究者はバグを発見した後、それを他の2人に明かし、その2人が「不正に」Krakenのアカウントから約300万ドルを引き出しました。「これはKrakenの財務からのものであり、他のクライアントの資産ではありません」とPercocoは述べました。
当初のバグ報告は、その他2人の取引について言及しておらず、Krakenがその活動の詳細を求めたところ、彼らは拒否しました。「代わりに、彼らは自分たちのビジネス開発チーム（つまり営業担当者）との通話を要求し、我々が提供する推定される金額を提供するまで、いかなる資金も返却することに同意しませんでした。これはホワイトハットハッキングではなく、恐喝です！」とPercocoは書きました。
Krakenは、これらの研究者と誠実に対応し、10年間のバグ報奨金プログラムの運営に沿って、彼らの努力に対してかなりの報奨金を提供していましたが、この経験に失望しており、現在は法執行機関と協力してこれらのセキュリティ研究者から資産を回収する作業を行っているとKrakenのスポークスパーソンはCoinDeskに語りました。
【ニュース解説】
暗号通貨取引所Krakenは、自社のバグ報奨金プログラムを利用して発見された脆弱性を悪用し、約300万ドルを不正に引き出した後、更なる金銭を要求する形で恐喝を行ったとされるセキュリティ研究者について報告しました。この事件は、バグの発見者が通常期待される倫理的な行動を逸脱し、犯罪行為に及んだ例として注目されています。
バグ報奨金プログラムは、セキュリティの専門家やハッカーが企業のシステム内の脆弱性を探し出し、発見したバグを企業に報告することで報酬を受け取る仕組みです。このプログラムは、悪意のある攻撃者による実際の被害が発生する前に問題を修正するために広く採用されています。しかし、今回のケースでは、バグを発見した研究者が、その情報を他の者に漏らし、不正な資金引き出しを行ったとされています。
この事件は、セキュリティ研究者としての倫理規範を逸脱した行為であり、通常のホワイトハットハッカーの行動とは異なります。ホワイトハットハッカーは、セキュリティの強化に貢献することを目的としており、発見した脆弱性を悪用することなく、企業に報告することが期待されています。しかし、このケースでは、バグの発見者が自ら脆弱性を悪用し、さらに企業に対して金銭的な要求を行ったため、恐喝と見なされています。
このような行為は、バグ報奨金プログラムの信頼性を損なうだけでなく、セキュリティ研究者コミュニティ全体の評判にも影響を与えかねません。また、企業側がセキュリティ研究者との協力関係を構築する上での障壁となり得ます。この事件を受けて、企業はバグ報奨金プログラムの運用方法を見直し、同様の事件の再発防止に向けた対策を講じる必要があるでしょう。
長期的な視点で見ると、この事件は暗号通貨取引所をはじめとする企業が、セキュリティ対策としてバグ報奨金プログラムをどのように運用し、セキュリティ研究者との関係をどのように築いていくかについて、重要な議論を促す契機となる可能性があります。また、法的な枠組みや規制においても、このような事件に対する対応策やガイドラインの整備が求められることになるかもしれません。
from Kraken Says Hackers Turned to 'Extortion' After Exploiting Bug for $3M.
“Kraken、セキュリティ研究者による300万ドル不正引き出しと恐喝に直面” への2件のフィードバック
この事件は、暗号通貨業界におけるセキュリティの脆弱性と倫理的な課題を浮き彫りにしています。バグ報奨金プログラムは、セキュリティの強化と潜在的なリスクの早期発見に貢献する重要な仕組みですが、今回のように、それを悪用する行為は業界全体の信頼を損なうものです。
私たちが途上国で推進している経済的包摂の取り組みにおいても、技術の正しい使用と倫理的な行動は基本的な柱です。仮想通貨が金融アクセスの改善に貢献する可能性を持つ一方で、このような事件は、技術の安全性と信頼性を確保するための厳格な対策と倫理規範の必要性を示しています。
Krakenの事件は、セキュリティ研究者と企業間の信頼関係を築く上での課題を浮き彫りにすると同時に、バグ報奨金プログラムの運用方法の見直しや、セキュリティ対策の強化、さらには法的な枠組みや規制の整備についての議論を促します。これらの対策は、暗号通貨をはじめとするデジタル金融サービスが、より安全で信頼性の高いものとなるために不可欠です。
最終的に、この事件は、技術の進歩とともに、倫理的な行動とセキュリティの重要性が、いかに不可分であるかを私たちに思い出させます。途上国における経済的包摂の推進においても、これらの原則は極めて重要であり、私たちはこれらの課題に真摯に取り組む必要があります。
この事件は、暗号通貨業界におけるセキュリティの脆弱性と倫理的な問題を浮き彫りにしています。バグ報奨金プログラムは、企業とセキュリティ研究者が共同でセキュリティを向上させるための有効な手段ですが、今回のように悪用される事例があると、その信頼性が損なわれます。特に、暗号通貨のようなデジタル資産は、その性質上、セキュリティが最も重要な要素の一つです。この事件は、企業がセキュリティ研究者との関係をどのように築き、どのように協力していくべきか、また、どのようにしてバグ報奨金プログラムを適切に運用し、悪用を防ぐかについて、深く考えるきっかけを提供しています。
さらに、この事件は、暗号通貨取引所だけでなく、すべての企業にとって、セキュリティ対策の見直しと強化の必要性を強調しています。セキュリティの脆弱性を発見した際の倫理的な対応に関するガイドラインや、セキュリティ研究者との協力関係をどのように構築し、維持するかについて、業界全体での議論が必要です。また、法的な枠組みや規制においても、このような事件に対する対応策やガイドラインの整備が求められます。
私たちは、テクノロジーの進歩によって新たな可能性が開かれる一方で、それに伴うリスクや倫理的な問題にも目を向け、適切に対処する必要があります。暗号通貨の持つ潜在的な価値と可能性を最大限に活かすためには、セキュリティと倫理の問題を真摯に取り組み、解決していくことが不可欠です。