Kraken menolak tebusan setelah upaya pemerasan internal mengenai 2.000 akun

Kraken menolak upaya pemerasan kriminal setelah akses internal yang tidak tepat mengekspos data sekitar 2.000 akun tetapi menyatakan tidak ada pelanggaran sistemik atau risiko dana klien.

Bursa cryptocurrency Kraken mengatakan sedang diperas oleh organisasi kriminal yang mengklaim memiliki video yang menunjukkan akses ke sistem internal perusahaan, tetapi telah berjanji untuk tidak membayar tebusan apapun dan menyatakan bahwa dana pelanggan tetap aman. Dalam pernyataan yang dikutip oleh CoinDesk, platform tersebut menekankan tidak ada "pelanggaran sistemik" terhadap infrastruktur perdagangan atau dompetnya, menggambarkan insiden tersebut sebagai penyalahgunaan akses internal yang ditargetkan daripada peretasan sistem inti yang berhasil.

Kraken mengatakan episode tersebut berasal dari akses tidak tepat oleh individu yang terkait dengan operasi layanan pelanggannya dalam dua insiden terpisah, yang bersama-sama mengekspos data terbatas pada sekitar 2.000 akun, atau sekitar 0,02% dari total basis penggunanya. Pengguna tersebut telah diberi tahu, tambah bursa tersebut, sementara orang-orang yang terlibat telah dicabut kredensialnya dan diputus dari alat internal saat Kraken memperketat pemantauan dan kontrol akses.

Chief security officer Nick Percoco, yang sebelumnya menyebut eksploitasi terpisah senilai $3 juta terhadap sistem Kraken sebagai "bukan peretasan white hat, ini pemerasan," mengatakan perusahaan sekali lagi memperlakukan ancaman baru tersebut sebagai masalah kriminal dan bekerja sama dengan penegak hukum. Dia memberi tahu wartawan Kraken yakin memiliki bukti yang cukup "untuk mengidentifikasi dan membantu menangkap" orang-orang di balik upaya pemerasan terbaru dan menegaskan kembali bahwa platform tidak akan bernegosiasi dengan pelaku yang mencoba memonetisasi akses internal.

Menurut deskripsi perusahaan, serangan tersebut mencerminkan pola yang meningkat dari "infiltrasi internal + rekayasa sosial," di mana pihak luar bekerja untuk mengkompromikan atau merekrut orang di dalam organisasi layanan untuk mendapatkan akses read-only, rekaman pengintaian atau data pelanggan terbatas daripada menyerang sistem dompet yang diperkuat secara langsung. Awal tahun ini, daftar dark-web yang mengklaim akses $1 ke panel dukungan internal Kraken dan data KYC memicu kekhawatiran serupa, meskipun bursa tidak mengonfirmasi pelanggaran dan peneliti keamanan memperingatkan bahwa bahkan akses read-only ke alat dukungan dapat dipersenjatai untuk phishing dan penipuan yang ditargetkan.

Upaya pemerasan baru datang setelah insiden terpisah pada bulan Maret di mana pengguna Kraken dilaporkan kehilangan sekitar 7.784 ETH dan 26,5 BTC — bernilai sekitar $18,2 juta — karena skema rekayasa sosial yang canggih sebelum dana dipindahkan ke HitBTC, menggarisbawahi spektrum ancaman yang dihadapi platform dan pelanggan. Seperti yang dicatat oleh perusahaan analitik blockchain EmberCN dan lainnya, bahkan ketika perbendaharaan bursa dan hot wallet tetap tidak terganggu, kelalaian dalam kontrol manusia — dari akses dukungan pelanggan hingga opsec pengguna — masih dapat mengakibatkan kerugian besar dan kerusakan reputasi.

Untuk Kraken, kasus terbaru adalah uji stres dari budaya keamanannya yang telah lama dipromosikan, yang mencakup autentikasi dua faktor wajib, dukungan kunci perangkat keras dan pesan publik reguler dari Percoco tentang praktik terbaik perlindungan akun. Untuk industri yang lebih luas, ini adalah pengingat lain bahwa di pasar di mana satu kredensial yang dikompromikan dapat menggantungkan jutaan dolar di depan penyerang, risiko terbesar sering berada di persimpangan akses internal, kesalahan manusia dan pemerasan kuno — bukan hanya dalam kode zero-day.