据报道，攻击者正在暗网论坛上出售Kraken内部管理面板的唯读存取权限。
这次事件引发了人们对用户数据外泄风险以及遭受钓鱼攻击风险的担忧。
管理员面板出售：暗网的指控引发了人们对Kraken安全性的质疑。
根据暗网资讯网（ 暗网 Informer）报导，该贴文出售使用者个人资料、交易历史以及所有KYC档案的存取权限。这些文件包括身分证/护照、自拍照、地址验证和资金证明。
卖家表示，存取权限可持续 1 至 2 个月，可透过代理商访问，没有 IP 位址限制，并允许建立支援工单。
这篇文章立即引起了许多网路安全专家的关注，尽管一些网友仍持怀疑态度。
一位用户评论道： “这几乎可以肯定是假的”，对这种访问权限的真实性表示怀疑。
其他人则警告说，如果属实，这些资料外泄可能会给Kraken 的客户带来重大风险，并敦促交易所和相关部门立即展开调查。
「如果情况属实，这将是一个重大的数据外泄风险，并可能导致Kraken客户遭受钓鱼攻击。Kraken的安全团队和执法部门需要立即介入，」另一位人士补充道。
事实上，这种存取权限可能被利用来实施极具迷惑性的社会工程攻击。 Kraken尚未回复Kraken的置评请求。
只读存取并非无害：CIFER 揭示了Kraken控制面板上的资料外泄风险。
CIFER Security点击，唯读存取权限也会带来严重风险。虽然攻击者可能无法更改帐户数据，但他们仍然可以利用支援工单建立功能来：
- 冒充Kraken员工。
- 引用真实的交易资讯有助于建立信任。
- 瞄准透过交易历史识别出的高价值散户投资者。
掌握了有关交易习惯、钱包地址和存款/提取活动的完整信息，使得恶意行为者很容易进行钓鱼攻击、SIM 卡swap或密码尝试，带来的风险不仅限于帐户泄露。
加密领域针对管理后台的攻击并非新鲜事。 Mt . Gox（2014） 、 币安 （2019）、 Kucoin （2020）、 加密（2022）和FTX（2022）等交易所都曾遭受黑客攻击。这表明，具有强大权限的中心化工具始终是网路犯罪分子的理想目标。
据称Kraken事件也属于这一更广泛的背景，点击了在金融业中保障敏感存取权所面临的固有挑战。
Kraken用户该怎么做？
CIFER Security建议用户做好数据外泄的准备，并立即实施以下安全措施：
- 启用硬体密钥认证。
- 启用全域设定锁定。
- 提取仅允许到白名单地址。
- 接受来自平台的协助请求时务必格外谨慎。
用户还应注意 SIM 卡swap攻击的迹象、可疑的密码更改，并考虑将大笔资金转移到冷钱包或使用不在可能已泄露的交易历史中的新地址。
这次事件凸显了将资产储存在中心化交易所的固有风险。交易所将大量关键客户数据集中在其管理后台，这使得系统极易受到单一漏洞的影响而崩溃。
正如 CIFER 所Chia的，如今良好的安全系统通常基于基于Vai的存取控制，仅在必要时授予权限，数据混淆，会话记录，并且不会长时间保持存取权限，以限制发生事件时的损害范围。
如果报告属实， Kraken需要迅速确定存取外泄的原因：可能是登入凭证外泄、内部人士、第三方服务供应商风险或会话劫持。
如果情况次，交易所需要采取紧急措施：更改所有管理员登入信息，审查访问日志，并以透明的方式通知用户。
在中心化系统带来的风险与加密市场去去中心化的前景并存的背景，迅速而透明的回应对于维护信任至关重要。
