Jeśli ktokolwiek prowadzi giełdę kryptowalut, to zapewne jest już dzisiaj świadomy związanych z tym zagrożeń. Niestety włamywacze nie cofają się przed samą świadomością właścicieli giełd, którzy nie potrafili zbudować skutecznego systemu zabezpieczeń.
Licznik z napisem „Liczba dni od ostatniej kradzieży kryptowalut o wartości powyżej miliona dolarów” można znowu zresetować. Tym razem padło na firmę Gatecoin. To giełda BTC z Hongkongu, która chwaliła się solidnie zaimplementowaną architekturą zapewniającą bezpieczeństwo depozytów. Jako jeden z pierwszych serwisów tego typu obsługiwała indywidualne konta walutowe (dolary czy euro należące do klientów znajdowały się na osobnych, indywidualnych kontach dla każdego klienta). Ponad to zimne portfele przechowujące BTC oraz ETH działały w technologii multisig, czyli wymagały kilku podpisów dla przelania środków na inny rachunek. W jaki zatem sposób włamywacze ukradli 15% wszystkich środków firmy, czyli ok. 260 bitcoinów i 185 000 ethereum?
Długi ciąg porażek
W wyjaśnieniu tej zagadki nieco pomaga oświadczenie firmy. Dowiadujemy się z niego, że włamanie do serwerów miało miejsce co najmniej 9 maja, kiedy to zaobserwowano restart serwera. Nie wiadomo, co spowodowało restart, ale firma podejrzewa silny związek z incydentem (szkoda że nie podejrzewała go zanim straciła środki). 13 maja z kont firmy zniknęły spore kwoty, powodując natychmiastowe zawieszenie działalności. Złodziej dobrał się do środków znacznie przekraczających zwyczajową zawartość gorącego portfela. Firma informuje, że jej system został tak zmodyfikowany, by wpłaty klientów nie lądowały w dobrze zabezpieczonym zimnym portfelu, a przesyłane były do portfela gorącego. Złodziej czekał zatem 4 dni aż uzbiera się solidna suma i wtedy wyczyścił portfel gorący.
Komunikat Gatecoin
Ta dobrze zabezpieczona giełda kryptowalut nie zauważyła, że przez 4 dni włamywacz buszował w jej systemach. Nie pomógł nawet restart serwera. Przez 4 dni nikt nie zauważył, że depozyty nie lądują w zimnym portfelu. Przez 4 dni nikt nie zauważył, że puchnie portfel gorący. Trudno to podsumować inaczej jak „każdy dostaje to, co na co zasłużył”.
Podsumowanie
Powyższy przykład świetnie pokazuje, że nie wystarczy sama świadomość zagrożenia. Każdy organizator giełdy kleptowaluty musi przecież być świadom skali zagrożeń – kategoria BTC w naszym serwisie pełna jest przerażających historii, gdzie miliony dolarów opuszczały swoich dotychczasowych właścicieli i znikały w czeluściach internetu. Właściciele Gatecoin (którym bardzo współczujemy) pewnie postawili bezpieczeństwo na pierwszym miejscu – lecz w dzisiejszych czasach nie wystarczy wiedzieć, że dane zagadnienie jest ważne – trzeba jeszcze wiedzieć, jak zbudować system zabezpieczeń, by był skuteczny. Giełdzie Gatecoin to się nie udało.
Komentarze
> Każdy organizator giełdy kleptowaluty musi przecież być świadom skali zagrożeń
Wygląda, że to jest w ogóle element biznesplanu – prowadzisz interes aż cię okradną, wtedy rozkładasz ręce. Od zawsze twierdzę że bitcoin to piramida finansowa.
To jak są prowadzone giełdy nie ma nic wspólnego z samym bitcoinem.
W kwestii tego przypadku też nie jest znowu tak tragicznie, bo czytamy, że po odnotowaniu straty natychmiast zakończono działanie giełdy ograniczając stratę do 15%.
MtGox albo BitFunder dla przykładu ciągnęły dalej, aż strata wyniosła ~100%.
„kleptowaluty” :-)
Już sam fakt możliwego połączenia z gorącym portfelem z Internetu dyskwalifikuje giełdę.
Wróć ;) Chodzi oczywiście o zimny portfel. A o tym, że mógł być dostęp do zimnego świadczy fragment ”
Firma informuje, że jej system został tak zmodyfikowany, by wpłaty klientów nie lądowały w dobrze zabezpieczonym zimnym portfelu, a przesyłane były do portfela gorącego. Złodziej czekał zatem 4 dni aż uzbiera się solidna suma i wtedy wyczyścił portfel gorący.”.
Ja to zrozumialem inaczej. Zlodziej mial dostep do serwerow gieldy, zmodyfikowal kod tak ze srodki byly deponowane w goracym portfelu zamiast zimnego. Polaczenie z goracym portfelem z internetu tu nie ma nic do rzeczy, bo zlodziej majac dostep do serwerow mogl polaczenie z portfelem z neta uaktywnic. Zreszta w artykule nie ma nigdzie napisane jak wyciagnal kase z portfela, wiec mogl np skopiowac wallet.dat. Choc chyba nie byli tacy niemadrzy, zeby nie zabezpieczych portfela haslem, wiec najpewniej z poziomu serwera wydal komende przelania btc i tyle. bez aktywowania obslugi rpc klienta bitcoin z zewnatrz
Tematy aż za ciekawe ale jak widzimy wiele firmy ignoruje sprawy bezpieczeństwa – czy w historii tych dziecinnych zabaw z wielka kasa ktokolwiek oddal ludziom ich pieniądze?
Czy macie jakieś przykłady bo jeżeli nie to znaczy, ze jest to źródło łatwej do zdobycia mamony?
Pewnie ktoś z wewnątrz za tym stoi!
Bitcoiny miały być sposobem na pomoc tym co walczą z korupcja, rządami jak Wikileaks!
A jest to łatwe źródło pieniędzy dla gangsterów!
Wystarczy prosty rachunek i widać jak na dłoni, że wartość wszystkich bitek jest bez porównania mniej niż choćby samych brudnych pieniędzy.
chyba mam cos z tym wspolnego, ale nie rozumiem algorytmow jeszcze bardzo dobrz,e proboje je zrozumiec, to moje ja jestem tworca bitcoina.
to moze ja jestem tworca bitcoina – albo przyjnajmniej samego mechanizmu kryptografi na ktorym sie opiera*
Jesli w aktualnych dnaich beda znikac kolejne kwoty, to juz na pewno ma mz tym wiele wspolnego ,bo wlasnie proboje odzyskac calkowita nkontrole (nie HAKOWAC) tylko odzywskac kontrole NAD SWOIM komputerem LOKALNYM (ktory mam w domU)
Ciagle powtarzam i pisze ze „goracy portfel” to najwieksza porazka gield i nalezy z niego zrezygnowac i zastosowac inne rozwiazania . Ale to by wymagalo stworzenia nowego systemu, napisania go od nowa i zaplacenia temu komus, latwiej i taniej jest kupic istniejacy dziurawy system i wdrozyc go we wlasna infrastrukture. Pytanie ilu wlascicieli gield musi sie o tym przekonac i ilu klientow musi zostac okradzionych aby wreszcie ktos zrozumial ze czas zmienic system….
Bardzo chętnie posłucham co przykładowo masz na myśli mówiąc że można zrezygnować z gorącego portfela :) Jeżeli chcesz żeby kasa do klientów wracała dynamicznie to musisz jakąś część środków mieć cały czas gotową do „akcji”. I tym cechuje się gorący portfel. Chyba, że lubisz spędzać cały dzień i czekać na transakcje przy cold wallecie i zlecać je ręcznie, to powodzenia :)
Masz racje ale np: Bitcurex i Bitmarket mają właśnie takie rozwiązanie z gorącym portfelem…