ブロックチェーンセキュリティ企業サーティック（CertiK）は20日、暗号資産（仮想通貨）取引所クラーケン（Kraken）のプラットフォームにおいてバグを発見したことを発表した。
発表によると、サーティックはホワイトハッカーとしてクラーケンのアカウントから数百万ドルを引き出すことが可能な脆弱性を発見し、実際に資金を引き出したという。
一方、クラーケンはこの脆弱性に関連してウォレットから約300万ドル（約4億7,400万円）相当の資金が引き出されたと発表したが、関係する企業については明らかにしていない。その上で、脆弱性を指摘したセキュリティ企業について「約300万ドルの資金を引き出し、報奨金の額も確認せず返却を拒否した」と説明している。
さらに、具体的な企業名こそ明かさなかったが、「あるセキュリティ企業から不当な報酬の請求を受けている」と述べ、不快感を示した。サーティックはこうしたクラーケンの姿勢を批判するなど、両者の対立が深まっている。
なお、クラーケンの最高セキュリティ責任者であるニック・パーココ（Nick Percoco）氏によれば、引き出された資金は顧客アカウントからではなく、クラーケンが保有するものだったという。脆弱性はすぐに修正されたようだ。
パーココ氏は、引き出しの背後には名前が明らかにしていない調査会社と関係のある2人の人物がおり、バグを報告しなかった場合にはクラーケンが脆弱性の規模を明らかにするまで資金を返還することを拒否していたと主張した。この調査会社がサーティックであるとみられている。
サーティックによると、数日に渡るテスト期間中にアラートが起動せず、クラーケンは情報開示から数日後になりようやくテストアカウントをロックしたという。
その後、脆弱性の修正が完了した後にクラーケンのセキュリティチームは資金の返送先アドレスの共有をすることなく、釣り合わない金額の暗号資産を不合理な時間で返済するよう脅迫したと主張している。その上で、サーティックは「当社の記録に基づいてクラーケンがアクセスできるアドレスに資金を送金した」と述べた。
参考：サーティック発表、クラーケン発表
画像：Shutterstock
