Kraken 在內部勒索攻擊影響 2,000 個帳戶後拒絕支付贖金

Kraken 在不當內部存取暴露約 2,000 個帳戶資料後,拒絕犯罪勒索企圖,但表示沒有系統性漏洞或客戶資金風險。

加密貨幣交易所 Kraken 表示正遭受犯罪組織勒索,該組織聲稱擁有顯示存取公司內部系統的影片,但已誓言不支付任何贖金,並堅稱客戶資金仍然安全。在 CoinDesk 引用的聲明中,該平台強調其交易基礎設施或錢包「沒有系統性漏洞」,將此事件描述為針對性濫用內部存取權限,而非成功入侵核心系統。

Kraken 表示,該事件源於與其客戶服務營運相關人員在兩起獨立事件中的不當存取,這些事件共暴露了約 2,000 個帳戶的有限資料,約佔其總用戶群的 0.02%。該交易所補充說,這些用戶已收到通知,而涉事人員的憑證已被撤銷並被切斷內部工具存取權限,Kraken 正加強監控和存取控制。

首席安全官 Nick Percoco 此前曾將一起針對 Kraken 系統的 300 萬美元漏洞利用稱為「不是白帽駭客行為,而是勒索」,他表示公司再次將新威脅視為刑事案件處理,並正在與執法部門合作。他告訴記者,Kraken 相信擁有足夠證據「識別並協助逮捕」最新勒索企圖背後的人員,並重申該平台不會與試圖將內部存取貨幣化的行為者談判。

根據該公司的描述,這次攻擊反映了「內部滲透 + 社交工程」的上升趨勢,外部人員試圖入侵或招募服務組織內部人員,以獲得唯讀存取權限、偵察影片或有限的客戶資料,而不是直接攻擊強化的錢包系統。今年稍早,暗網上出現聲稱以 1 美元存取 Kraken 內部支援面板和 KYC 資料的清單,引發了類似擔憂,儘管該交易所未確認漏洞,安全研究人員警告說,即使是對支援工具的唯讀存取也可能被武器化用於網路釣魚和針對性詐騙。

這次新的勒索企圖發生在三月份一起獨立事件之後,據報導一名 Kraken 用戶在資金轉移到 HitBTC 之前,因複雜的社交工程計畫損失了約 7,784 ETH 和 26.5 BTC——價值約 1,820 萬美元,凸顯了平台和客戶面臨的威脅範圍。正如區塊鏈分析公司 EmberCN 等機構所指出的,即使交易所金庫和熱錢包未被入侵,人為控制的失誤——從客戶支援存取到用戶操作安全——仍可能轉化為巨大損失和聲譽損害。

對 Kraken 而言,最新案例是對其長期推廣的安全文化的壓力測試,包括強制雙因素驗證、硬體金鑰支援以及 Percoco 定期發布的帳戶保護最佳實踐公開訊息。對於更廣泛的行業來說,這再次提醒我們,在一個單一憑證洩露就可能讓攻擊者覬覦數百萬美元的市場中,最大的風險往往存在於內部存取、人為錯誤和老式勒索的交匯點——而不僅僅是零日漏洞程式碼。