Naglalabasan ang balita na binebenta ng mga hacker ang read-only na access sa internal admin panel ng Kraken sa isang dark web forum.
Dahil dito, nababahala ang maraming tao sa posible ngang malantad ang user data at baka gamitin ito para sa target na phishing attack.
Admin Panel ng Kraken Ibinenta Umano sa Dark Web—Safe Pa Ba ang Security?
Ayon sa Dark Web Informer, nagpo-post ang seller na puwede raw makita ang mga user profile, transaction history, at buong KYC document sa listing. Kasama rito ang ID, selfie, patunay ng address, at info kung saan galing ang pera ng user.
Sinabi rin ng nagbebenta na puwedeng tumagal ang access ng isa hanggang dalawang buwan, gamit ang proxy kaya walang IP restriction, at puwede rin mag-generate ng support ticket.
Dahil sa listing na ito, agad nag-alala ang maraming security expert. Pero may ilan pa ring online user na may pagdududa kung totoo ba ‘to o scam lang.
“Halos tiyak na peke ‘yan,” komento ng isang user, na pinansin din ang hindi tiyak kung legit nga ba ang access na ito.
Pero may warning din ang iba na kung totoo nga ito, malaking risk ‘to para sa mga customer ng Kraken, kaya hinihikayat nilang mag-imbestiga agad ang exchange at mga pulis.
“Kapag totoo ‘to, matindi ang data exposure at phishing risk para sa mga customer ng Kraken. Kailangan mag-action agad ng security team ng Kraken at law enforcement,” sabi ng isa pang user.
Sa totoo lang, puwedeng magamit ang access na ‘to sa matinding social engineering attack na mukhang legit talaga. Sa ngayon, wala pang sagot ang Kraken sa request for comment ng BeInCrypto.
‘Di Porke Read-Only Access, Safe Ka Na: CIFER Binunyag ang Kraken Panel Risks
Binigyang-diin ng CIFER Security na kahit read-only na access lang, matindi pa rin ang puwedeng maging epekto nito. Kahit hindi nila direktang ma-modify ang account, puwedeng gamitin ng attacker ang support ticket function para:
- Magpanggap na Kraken staff,
- Maggamit ng totoong transaction details para mapaniwala ka, at
- Pumili ng high-value na user base sa transaction history.
Kung may full access ang hacker sa trading patterns, mga wallet address, at ugali sa pagdeposit at pag-withdraw, mas madali silang mag-launch ng phishing, SIM swap, at credential stuffing attack. Mas lumalawak lalo ang threat, hindi lang sa mismong account mo.
Hindi na bago ang kaso ng admin panel na na-compromise sa crypto. Noon pa nadali ang mga exchange tulad ng Mt. Gox (2014), Binance (2019), KuCoin (2020), Crypto.com (2022), at FTX (2022) ng attack na target ang internal systems nila. Pinapakita lang nito na target talaga ng hacker ang mga centralized tool na may high-level access.
Sakaling totoo nga, nagtutugma ang report na ito sa palaging issue ng finance sector: hirap talagang bantayan at i-secure ang mga privileged access.
Anong Pwede Gawin ng mga Kraken User Ngayon?
Ang payo ng CIFER Security: mag-assume ka na pwede ka nang malantad at magpatupad agad ng extra na paraan para maging protektado. Kasama dito ang mga sumusunod:
- I-activate ang hardware key authentication,
- I-on ang global settings locks,
- Mag-whitelist ng withdrawal address, at
- Maging sobrang maingat tuwing may makukuha kang support communication.
Dapat alerto rin ang user sa mga palatandaan ng SIM swap attack, mga kakaibang password reset, at ibang targeted na banta. Mainam din na ilipat ang malaking hawak mong crypto sa hardware wallet o bagong address na hindi included sa posibleng na-leak na transaction history.
Pinapakita ng incident na ito kung gano ka-risky kapag centralized ang custody ng asset mo. Iisang admin panel lang, pero nandoon lahat ng sensitive na customer data — kaya minsan sunog talaga kapag na-penetrate ng hacker.
Kagaya ng sabi ng CIFER sa kanilang analysis, mas ok kung ang system design ay gumagamit ng role-based access, just-in-time permission, data masking, session recording, at zero standing privilege. ‘Pag may breach, minimal lang ang damage.
Kung accurate ang report, dapat matukoy agad ng Kraken kung paano nangyari ang access — posible dahil sa leaked credentials, inside job, third-party vendor, o session hijacking.
Sakaling totoo, kailangan nila agad magpalit ng lahat ng admin credential, mag-audit sa access logs, at klarong mag-report sa mga user.
Mabilis at malinaw na aksyon lang ang makakatulong para mapanatili ang tiwala ng mga tao, lalo na kung centralized ang risk habang umutang pa naman ng tiwala ang crypto sa desentralisadong pangako nito.
