Bloombergin tutkimuksen mukaan Crypto.com, yksi maailman suurimmista kryptovaluuttapörsseistä, kärsi tietoturvaloukkauksesta, jota se ei koskaan paljastanut.
Raportti yhdisti tapauksen Scattered Spider -hakkeriryhmään, joka usein kohdistaa hyökkäyksensä yrityksiin sosiaalisen manipuloinnin taktiikoilla. Ryhmä koostuu pääasiassa teini-ikäisistä, jotka ovat erikoistuneet huijaamaan työntekijöitä luovuttamaan tunnuksensa.
Crypto.com kohtaa vastareaktion väitetystä turvallisuuspuutteen peittelystä
Bloombergin mukaan hyökkääjät esiintyivät IT-henkilöstönä ja suostuttelivat nimetytömät Crypto.comin työntekijät luovuttamaan kirjautumistunnuksensa. Päästyään sisään he yrittivät laajentaa pääsyään kohdistamalla hyökkäyksensä johtotason tileihin.
Crypto.com kertoi Bloombergille, että hyökkäys vaikutti vain “hyvin pieneen määrään henkilöitä” ja korosti, että asiakasvarat pysyivät koskemattomina.
Yritys ei ole vielä antanut lisätietoja tapauksesta lehdistöaikaan mennessä.
Samaan aikaan tietoturva-asiantuntijat väittävät, että pörssin päätös olla paljastamatta tietomurtoa heikentää luottamusta sen turvallisuuskäytäntöihin.
He väittävät, että yksityiskohtien jakamatta jättäminen jättää käyttäjät epävarmoiksi altistuksen laajuudesta ja alttiiksi mahdollisille jatkohyökkäyksille.
Huoli on merkittävä, koska Coinbase kärsi aiemmin samanlaisesta tietomurrosta, joka altisti sen asiakkaat yli 300 miljoonan dollarin vuosittaisille tappioille.
On-chain-tutkija ZachXBT syytti Crypto.comia tietomurron tahallisesta peittelystä. Hän korosti myös, että tämä ei ollut ensimmäinen kerta, kun alusta on yhdistetty paljastamattomiin tietoturvaongelmiin.
Hänen kommenttinsa heijastavat laajempaa alan turhautumista pörsseihin, jotka hiljaa vähättelevät tietomurtoja suojellakseen mainettaan.
Tapaus on myös herättänyt uudelleen kritiikkiä alan riippuvuudesta Know Your Customer (KYC) -järjestelmistä.
Nimettömänä pysyttelevä tietoturvatutkija Pcaversaccio reagoi jyrkästi ongelmiin ja väitti, että KYC-vaatimukset luovat valtavia tietopankkeja hakkereille.
“Salasanan voi vaihtaa helposti, mutta _ei_ passia, ja he tietävät sen hyvin. Olemme käytännössä heidän valvontajärjestelmänsä panttivankeja,” tutkija totesi.
Huoli on linjassa laajemman alan skeptisyyden kanssa sääntelykehyksiä kohtaan.
Aiemmin tänä vuonna Coinbasen toimitusjohtaja Brian Armstrong kritisoi Bank Secrecy Actia ja nykyisiä rahanpesun vastaisia sääntöjä vanhentuneiksi ja tehottomiksi.
Hän selitti, että yritykset pakotetaan keräämään arkaluonteisia tietoja vastoin tahtoaan. Hänen mukaansa vaatimukset eivät juuri estä rikollisuutta, vaikka ne rasittavat yrityksiä ja asiakkaita.
“Emme halua kerätä niitä, ja asiakkaamme vihaavat sitä. Meidät pakotetaan keräämään niitä vastoin tahtoamme. Eikä se edes ole tehokasta rikollisuuden estämisessä, jos katsoo sen taustalla olevia tietoja,” Armstrong sanoi.