עשרות אלפי סיסמאות נגנבו מאתר פוקר המקבל רק ביטקוין
מאת:
מערכת Telecom News, 28.12.13, 10:12
ראשונים לדווח: אתר Bitcoin Poker בשם Seals with Clubs, שמקבל רק ביטקוין, אישר, שבסיס הנתונים נפרץ ונגנבו 42,000 סיסמאות.
אתר פוקר של משתמשי
ביטקוין (No Banking - Only Bitcoin) בשם
Seals with Clubs הודיע, שהשרת שלו נפרץ ותוך 24 שעות הועבר אוסף הסיסמאות לפורום בו אנשים רבים ניסו לפרוץ לתוכן על מנת לגנוב ביטקוין. כך דיווח היום אתר
onlinecasino.
מסתבר, שהאתר השתמש בפונקציית הצפנה ישנה וכתוצאה מכך, לקח זמן קצר לאנשים לפרוץ לסיסמאות. כאשר הופיעו סיסמאות כמו "sealswithclubs" או "88seals88" או "pokerseals" או "bitcoin1000000", היה ברור מהיכן מגיעים הקבצים.
כתוצאה מכך, הודיע האתר בשבוע שעבר למשתמשים על הצורך לשנות את הסיסמאות כדלקמן:
The datacenter that we employed up to November permitted unauthorized access to a database server and our database containing user credentials was likely compromised. Passwords were salted and hashed per user, but to be safe every user
MUST change their password when they next log in
כאמור, האתר השתמש בשרת לא מוגן ובאלגוריתם חלש SHA-1 hashing algorithm, שכבר נפרץ לראשונה בשנת 2007 ושהוכרז כחסר ערך כבר בשנת 2010. אסור היה לאתר להשתמש בו. האבטחה שלו נשענה עד כה על העובדה, שאף אחד לא תאר לעצמו, שנעשה שימוש באלגוריתם הזה.
זו פריצה ראשונה לאתר הימורים המקבל רק ביטקוין. אך, קרוב לוודאי, לא האחרונה. אתרי הימורים של ביטקוין מסוכנים הן בגלל הטבע האנונימי של המשתמשים ואופי התחום עצמו והן מאחר שהנתונים עצמם משמעותם "כסף". יש כאן "כסף גדול", וכמו שהיה בתחילת הדרך של אתרי הימורים בכסף רגיל, אותו תהליך אך עוצמתי יותר מחכה לאתרי הימורים בביטקוין, שפועלים עם כמויות כסף וירטואלי גדולות בתחום תחיקתי "אפור". וכפי שנאמר: When the data [itself] is money, the stakes are higher.
לא ידועים פרטים אם הכמות הגדולה של משתמשי האתר הפסידה את כל תכולת ארנקי הביטקוין ב-SWC. כנראה, מה שידוע זה רק חלק מהסיפור. לנוכח אנונימיות המשתמשים, סביר להניח , שלא יהיו דיווחים ספציפיים לאתר על היעלמות הביטקוין מהארנקים. מערכת אחסון הביטקוין באתר היא נפרדת מהסיסמאות ויתכן שחלק מהכסף נשמר. אלה שגיאות של תחילת הדרך של אתרי הימורים בביטקוין, ואין ספק, שעתה יפעל האתר להידוק האבטחה.
אתר ההימורים בביטקוין יצטרך להמשיך ולהיאבק בפריצות כאלה במיוחד בגלל שהוא מקבל רק ביטקוין. הפריצה לתוכו הייתה יותר לאתר ביטקוין מאשר לאתר הימורים. הפריצה הזו הדליקה נורת אזהרה באתרי הימורים אחרים בביטקוין כי הם מבינים עתה, שגם הם נמצאים בקו החזית מול האקרים, שרוצים לגנוב ביטקוין. על כולם לחזק עתה את האבטחה.
בפוסט באתר insidepro (אתר בו פועל פורום לשיקום סיסמאות בתשלום) הצמיד משתמש בשם StacyM את בסיס הנתונים והציע 20 דולרים בביטקוין עבור כל 1,000 סיסמאות ייחודיות מפוצחות. לאחר יום, שני שליש כבר פוצחו. תמונה להלן למטה.
ראו ניתוח מפורט של המקרה באתר
4flush משלשום.
