रिपोर्ट्स के मुताबिक, थ्रेट एक्टर्स डार्क वेब फोरम पर Kraken के इंटरनल एडमिन पैनल की रीड-ओनली एक्सेस बेच रहे हैं।
इस घटना ने यूजर डेटा के लीक और टारगेटेड फिशिंग अटैक्स के जोखिम को लेकर चिंता बढ़ा दी है।
Admin Panel बिकाऊ: Dark Web के दावे से Kraken की सिक्योरिटी पर सवाल
Dark Web Informer के अनुसार, इस लिस्टिंग में यूजर प्रोफाइल, ट्रांजैक्शन हिस्ट्री और फुल KYC डॉक्यूमेंट्स देखने की सुविधा दी गई है। इनमें ID, सेल्फी, एड्रेस प्रूफ और सोर्स-ऑफ-फंड्स इंफॉर्मेशन शामिल हैं।
बेचने वाले का दावा है कि एक्सेस एक से दो महीने तक मिल सकती है। इसमें प्रॉक्सी के जरिए कोई IP रेस्ट्रिक्शन नहीं है, और सपोर्ट टिकट जनरेट करने की सुविधा भी शामिल है।
इस लिस्टिंग के सामने आते ही सिक्योरिटी प्रोफेशनल्स के बीच तुरंत चिंता पैदा हो गई है, हालांकि कुछ ऑनलाइन यूजर्स अब भी शक में हैं।
“लगभग निश्चित रूप से फेक है,” एक यूजर ने कमेंट किया, जिससे एक्सेस की जेन्युनिटी को लेकर अनिश्चितता दिखाई दी।
कुछ एक्सपर्ट्स का कहना है कि अगर यह सच निकला, तो इतना बड़ा डेटा लीक Kraken के कस्टमर्स के लिए भारी जोखिम साबित हो सकता है। एक्सचेंज और लॉ एनफोर्समेंट को तुरंत जांच शुरू करने की सलाह दी जा रही है।
“अगर यह असली है, तो Kraken कस्टमर्स के लिए ये बड़ा डेटा-एक्सपोजर और फिशिंग रिस्क है। Kraken की सिक्योरिटी और लॉ एनफोर्समेंट टीम्स को तुरंत एक्शन लेना चाहिए,” एक अन्य एक्सपर्ट ने जोड़ा।
असल में, इस तरह की एक्सेस के जरिए हाईली कन्विंसिंग सोशल इंजीनियरिंग अटैक्स किए जा सकते हैं। Kraken ने BeInCrypto के कमेंट रिक्वेस्ट पर फिलहाल कोई प्रतिक्रिया नहीं दी है।
Read-only access भी है रिस्की: CIFER ने Kraken पैनल के खतरे बताए
CIFER Security का कहना है कि सिर्फ रीड-ओनली एक्सेस भी काफी नुकसान कर सकती है। हालांकि अटैकर्स सीधे अकाउंट्स में बदलाव नहीं कर सकते, लेकिन वे सपोर्ट टिकट फीचर का इस्तेमाल इन चीज़ों के लिए कर सकते हैं:
- Kraken स्टाफ की पहचान कर सकते हैं,
- असली ट्रांजैक्शन डीटेल्स का रेफरेंस देकर ट्रस्ट जीत सकते हैं, और
- ट्रांजैक्शन हिस्ट्री से पहचाने गए हाई-वैल्यू यूजर्स को टारगेट कर सकते हैं।
ट्रेडिंग पैटर्न, वॉलेट एड्रेस और डिपॉजिट या विदड्रॉल की आदतों की पूरी जानकारी देखकर थ्रेट एक्टर्स यह डेटा फिशिंग, SIM स्वैप, और क्रेडेंशियल स्टफिंग जैसे अटैक्स करने के लिए इस्तेमाल कर सकते हैं। इसका खतरा अकाउंट एक्सपोजर से भी आगे बढ़ जाता है।
एडमिन पैनल से जुड़ी समझौते की घटनाएं क्रिप्टो इंडस्ट्री में कोई नई बात नहीं हैं। Mt. Gox (2014), Binance (2019), KuCoin (2020), Crypto.com (2022), और FTX (2022) जैसी exchanges के आंतरिक सिस्टम पर हमले हो चुके हैं। इससे यह बात सामने आती है कि जिन सेंट्रलाइज्ड टूल्स के पास ज्यादा पावरफुल एक्सेस होता है, वे हमेशा हैकर्स के लिए मुख्य टारगेट बने रहते हैं।
Kraken की रिपोर्टेड एक्सपोजर इसी बड़े ट्रेंड से मेल खाती है, जिससे पता चलता है कि फाइनेंशियल सर्विसेज सेक्टर में प्रिविलेज्ड एक्सेस की सुरक्षा हमेशा एक मुश्किल चुनौती रही है।
Kraken यूजर्स को क्या करना चाहिए
CIFER Security का सुझाव है कि आपको संभावित एक्सपोजर मानकर तुरंत सुरक्षात्मक कदम उठाने चाहिए। इसमें ये शामिल हैं:
- हार्डवेयर की ऑथेंटिकेशन इनेबल करना,
- ग्लोबल सेटिंग्स लॉक एक्टिवेट करना,
- विदड्रॉल एड्रेस को व्हाइटलिस्ट करना, और
- सपोर्ट कम्युनिकेशन का जवाब देते समय बहुत सतर्क रहना।
यूजर्स को SIM swap अटैक, संदिग्ध पासवर्ड रिसेट और अन्य टारगेटेड थ्रेट्स के लक्षणों पर भी नजर रखनी चाहिए। साथ ही, अपने मुख्य holdings को hardware wallets या उन नए एड्रेस पर ट्रांसफर करने पर विचार करें, जो लीक हुई ट्रांजैक्शन हिस्ट्री में दिखाई न दें।
यह घटना सेंट्रलाइज्ड कस्टडी से जुड़ी मूलभूत रिस्क को उजागर करती है। एक्सचेंज डिज़ाइन के हिसाब से, कस्टमर का सेंसिटिव डेटा एडमिन पैनल्स में केंद्रित रहता है, जिससे फेलियर का एक सिंगल पॉइंट बन जाता है।
जैसा कि CIFER बताता है, स्ट्रॉन्ग आर्किटेक्चर में रोल-बेस्ड एक्सेस, जस्ट-इन-टाइम परमिशन, डेटा मास्किंग, सेशन रिकॉर्डिंग और जीरो स्टैंडिंग प्रिविलेज जैसे फीचर्स होने चाहिए ताकि किसी भी समझौते के समय नुकसान को कम किया जा सके।
अगर रिपोर्ट्स सही हैं तो Kraken को तुरंत यह पहचानना होगा कि एक्सेस का सोर्स क्या है—कहीं क्रेडेंशियल्स लीक ना हुए हों, कोई इंसाइडर कार्रवाई, थर्ड पार्टी वेंडर या फिर सेशन हाईजैकिंग तो नहीं हुई।
अगर ये सही है, तो संभव एहतियात के तौर पर सभी एडमिन क्रेडेंशियल्स को रोटेट करना, एक्सेस लॉग्स का ऑडिट करना और यूजर्स के साथ पूरी पारदर्शिता से कम्युनिकेशन करना जरूरी है।
फास्ट और ट्रांसपेरेंट रिस्पॉन्स से सेंटरलाइज्ड रिस्क और क्रिप्टोकरेंसी की डिसेंट्रलाइजेशन की उम्मीद के बीच यूजर्स का भरोसा बना रह सकता है।
