Bitcoin Forum

Security breach on Bitfinex

Today we discovered a security breach that requires us to halt all trading on Bitfinex, as well as halt all digital token deposits to and withdrawals from Bitfinex.

We are investigating the breach to determine what happened, but we know that some of our users have had their bitcoins stolen. We are undertaking a review to determine which users have been affected by the breach. While we conduct this initial investigation and secure our environment, bitfinex.com will be taken down and the maintenance page will be left up.

The theft is being reported to — and we are co-operating with — law enforcement.

Sticazzi !

non è detto che abbiano rubato soldi, potrebbe ma non e detto.. magari stavano preparando

non si sa ancora per certo la quantita di coin rubate?

questa e' la fase dove ognuno dice robe a caso....

aspettiamo di vedere cosa dichiara finex...
qualcosa dovranno pur dire, dopo un annuncio shock di quel genere !!!!

Ma non sembrano strani tutti questi hackeraggi?

Comunque....la frase che hai in firma,deve essere un mantra, se ancora qualcuno non l'avesse capito

Quindi il dump di ieri potrebbe essere qualcuno che passa all'incasso...

non lo so e non lo vorrei neanche sapere.

L'unica cosa di cui sono certo, e' che se le banche, che teoricamente
sono super controllate ti inculano col sabbione, non vedo perche' non dovrebbe
farlo uno che praticamente non e' soggetto a nessun tipo di controllo !!!

Probbilmente tutto parte da qui:

https://bitcointalk.org/index.php?topic=1521609.0

"network instability"  e' veramente risibile come motivazione.

Si parla di 120.000 Bitcoin rubati, per un controvalore di circa 60 milioni di dollari.

Una parte di questi BTC è già stata venduta su altri exchange, ecco il motivo del crollo così violento.

Appena trovo i link che avevo letto stamattina li metto qui :)


EDIT: https://twitter.com/maraoz/status/760590406870507526

Our representative, Zane Tackett, will be posting updates on reddit (/u/zanetackett)

Everyone, i have to sign off for a bit, i have to get some sleep. I'll be back online asap and responding to everyone's messages. Apologies for the delay in getting back to you.

se arriva la foto di lui leggermente in sovrappeso con un gatto, c'e' da proccuparsi di brutto ;)

Ora si spiegano tante cose!

so quanto è difficile tenere su un exchange come Bitfinex, ma non si possono lasciar fregare così!

La morale è sempre la stessa "Sii la banca di te stesso!"

ZK

Comunque ancora una volta: dare i soldi in mano alle banche e' sbagliato, darli in mano
agli exchange e' da MATTI.

Sono daccordo con quanto hai scritto, però mi chiedo: se vuoi fare un po' di trading devi necessariamente lasciare qualcosa sugli exchanges o esiste un metodo alternativo?

qualche retroscena tragicomico.

quelli di bitfinex hanno segnalato


e su reddit c'e' un messaggio di questo tipo che fa quasi tenerezza:


ora, non so chi sia (il CEO ? un tecnico ? un martire ?)  lui magari ha davvero tutte le migliori intenzioni del mondo,
ma a mio avviso da una misura di cosa stiamo parlando:

il numero uno degli exchange occidentali, che fa piu' di cento milioni di dollari di transazioni al giorno,
ha lasciato la comunicazion ufficiali in mano a uno che ad un certo punto e' crollato dal sonno !

se arriva la foto di lui leggermente in sovrappeso con un gatto, c'e' da proccuparsi di brutto ;)

Comunque ancora una volta: dare i soldi in mano alle banche e' sbagliato, darli in mano
agli exchange e' da MATTI.

Dai, non esagerare: e' il capo della comunicazione. Ed è uno solo, perché, quanti addetti
alla comunicazione dovrebbe avere un exchange? E mi sembra normale che crolli dal sonno
in una situazione del genere: a parte lo stress, dover rispondere a destra e a manca per
molte ore di file, avrebbe distrutto chiunque. L'importante è che abbiano ingegneri, sviluppatori
e sistemisti che stiano cercando di fare il punto della situazione, piuttosto che averli
a comunicare su reddit. Zane Tackett sta facendo il suo lavoro, e bene.

/paci

sono la persona meno indicata per darti questo consiglio.

Io considero il trading la summa di tutte le nevrosi occidentali: la nevrosi della frenesia, sommata alla nevrosi del possesso,
sommata al mito della ricchezza...

insomma se lo domandi a me, la mia rispota e': curati.

Grazie per la risposta, avrei un altro dubbio: se gli exchanges non esistessero e quindi senza trading come si darebbe un valore al bitcoin.
Se l'obiettivo è contribuire alla diffusione della moneta virtuale ovunque come farebbe per esempio un barista a sapere a quanti bitcoin venderti una bibita o un caffè, etc...?

qualche retroscena tragicomico.

quelli di bitfinex hanno segnalato


e su reddit c'e' un messaggio di questo tipo che fa quasi tenerezza:


ora, non so chi sia (il CEO ? un tecnico ? un martire ?)  lui magari ha davvero tutte le migliori intenzioni del mondo,
ma a mio avviso da una misura di cosa stiamo parlando:

il numero uno degli exchange occidentali, che fa piu' di cento milioni di dollari di transazioni al giorno,
ha lasciato la comunicazion ufficiali in mano a uno che ad un certo punto e' crollato dal sonno !

se arriva la foto di lui leggermente in sovrappeso con un gatto, c'e' da proccuparsi di brutto ;)

Comunque ancora una volta: dare i soldi in mano alle banche e' sbagliato, darli in mano
agli exchange e' da MATTI.

Ma questo exchange non e' decentralizzato?   http://www.coinffeine.com/ (http://www.coinffeine.com/)

Ma questo exchange non e' decentralizzato?   http://www.coinffeine.com/ (http://www.coinffeine.com/)

Hanno chiuso da tempo, e non funzionava nemmeno bene.
L'unico altro exchange p2p presente ora è questo https://bitcointalk.org/index.php?topic=887287.0

Ne stanno succedendo troppe..
Penso che anche gli exchange dovrebbero avere sicurezza maggiore..
Wallet divisi su varie piattaforme, chiavi custodite diversamente, wallet con diversi fattori di conferma prima di movimentare i BTC ecc ecc.
Non puoi avere volumi così di Bitcoin e non spendere in sicurezza e strategie di sicurezza appropriate..

To accommodate the relaunch, all withdrawals, open orders, and open funding offers will be canceled. Furthermore, in order to compute losses for relevant parties, settlement must occur in the affected accounts. Margin positions for all pairs will be settled and closed using the following prices, representing the midpoint of the bid and ask on August 2, 2016 at 18:00:00 UTC:

BTCUSD: 604.06000000
ETHUSD: 10.19050000
ETHBTC: 0.01689900
ETCUSD: 2.83700000
ETCBTC: 0.00471495
LTCUSD: 3.75180000
LTCBTC: 0.00621295

sbaglio ?

Sono daccordo con quanto hai scritto, però mi chiedo: se vuoi fare un po' di trading devi necessariamente lasciare qualcosa sugli exchanges o esiste un metodo alternativo?

Se vuoi fare trading devi mettere anche in conto il rischio fallimento o hackeraggio degli exchanger.

Essendo un rischio puoi solo limitarti a gestirlo cercando di minimizzarlo.

Il consiglio è quindi:

1) fai ricerche su internet e fatti un'idea di quali potrebbero essere gli exchanger che sembrano più solidi e sicuri

2) spalma i tuoi soldi/bitcoin che usi per fare trading su più di un exchanger scegliendoli tra quelli che reputi più sicuri

Esempio: se avessi avuto tutto su bitfinex avresti perso tutto, ma se avessi avuto il tutto spalmato tra kraken, bitstamp, coinbase, poloniex, the rock trading e bitfinex avresti perso solo un sesto del tuo capitale di trading.

Invece se oltre a queste somme hai una certa quantità di bitcoin che vuoi holdare sul lungo periodo devi ovviamente conservarli in un wallet di cui solo tu hai il controllo.

non so se questo consiglio sia giusto... nel senso che l'idea che cosi' spalmi il rischio, e' apparentemente vera,
ma dando per scontato che viene sempre "hackerato"(??) un solo exchange alla volta.

Fino ad ora e' stato cosi', ma chi ti garantisce che sara' cosi' anche in futuro ?

E inoltre non si sa che policy e legami ci sono tra i vari exchange, quindi come fai
ad essere certo che due echange in realta' siano la stessa piattaforma con due interfacce diverse ?

nel commercio accade spesso che una grande ditta si fa anche la ditta di "falsa concorrenza"
per non apparire monopolista .... oppure per praticare "pilotaggi" sui prezzi dei prodotti
(e figuriamoci se tra 100 exchange che lavorano sulle provvigioni, non ce ne sono diversi che
fanno giochetti del genere per far pump e dump pilotate)

Insomma l'idea che cosi' spalmi il rischio potrebbe anche rivelarsi tristemente falsa....

Se mi ricordo bene, quella volta che e' successo a bistamp, la cifra era attorno a
5 milioni di dollari, e se li sono accollati loro...

ma accollarsi piu' di 60 milioni di dollari.... non credo finex sopravvivera'.

EDIT: sembra che inizialmente vogliono aprire gli accessi aggli account,
per permettere agli utenti di verificare le proprie situazioni.

contestualmente, dovrebbero annunciare come intendono gestire la perdita.

Per quel che riguarda il trading, in questa fase rimarra' ancora sospeso

(piu' o meno e' quello che sono riuscito a capire leggedo su reddit i post di zanetackett)

Si con bitstamp erano stati rubati 19'000 bitcoin più o meno, qui siamo sui 120k bitcoin...

Mi sa che spammo il tuo thread (non so se qualcuno lo ha già fatto):

 - https://bitcointalk.org/index.php?topic=927371.0

Esempio: se avessi avuto tutto su bitfinex avresti perso tutto, ma se avessi avuto il tutto spalmato tra kraken, bitstamp, coinbase, poloniex, the rock trading e bitfinex avresti perso solo un sesto del tuo capitale di trading.

Invece se oltre a queste somme hai una certa quantità di bitcoin che vuoi holdare sul lungo periodo devi ovviamente conservarli in un wallet di cui solo tu hai il controllo.

info da prendere con le pinze:

mi sembra di aver capito leggendo reddit che

1) non c'e' un'assicurazione
cosa che immaginavo,  non credo che ci sia modo di valutare i rischi della gestione di un exchange di criptovalute,
quindi suppongo nessuna compagnia immagino voglia fare un'assicurazione (i ragazzi di therocktrading sicuramente
ne sanno molto piu' di me)

2) sembra che si stiano orientando verso una "socializzazione del costo", ossia tagliano
una percentuale a tutti i possessori di bitcoin

3) per come gestiranno invece chiusura forzata delle posizioni long short, non ho capito una mazza :)

Si parlava di un tetto massimo di 250'000 dollari (https://www.reddit.com/r/Bitcoin/comments/4w5zhg/i_recently_put_most_of_my_trading_funds_in/)

Qui invece un dump degli address del hack bfx:

http://pastebin.com/i4C02xeA

250.000$ di copertura totale assicurativa ? ehehe un cifrone  per uno che fa girare piu' di 100 milioni $ al giorno....

hanno fatto la somma dei bitcoin negli indirizzi che hai indicato  ? fa davvero 119.000 bitcoin circa ?

per me è un altro inside job

esagerando. Da quale fonte hai letto che Bfx fa girare più di 100M$ al giorno?

However, it seems even bitcoin entrepreneurs are finding overlap with her insights.

Andrea Medri, CFO of bitcoin exchange The Rock Trading, said he is still wondering why so much bitcoin was being kept on the exchange.

"The beauty of this technology is that you can be your own bank and leave your assets with an intermediary such as an exchange for few minutes only," Medri said, concluding:

"People need to realize that they don’t need custodians any longer."

Su http://bitcoincharts.com/markets/bitfinexUSD.html
vedo cifre diverse su base mensile.
La cifra mi interessa, perchè la perdita riportata potrebbe essere risarcita con le commissioni sugli scambi.

sicuramente l'ultimo mese e' stato un mese stagnante, quindi magari la media dei volumi e' piu' bassa...
ma giugno che e' stato un mese scopiettante, i volumi giornalieri sono stati mediamente molto piu' alti...

quindi non so su che base possa venir fatta una media...

e poi commissioni sugli scambi di che ? i passati ? mi sembra veramente poco sensato...
i futuri ? ma figurati, se riapre scappano tutti in un microsecondo...

Sai che non ne sono proprio sicuro  ::). Dopo l'hack bitstamp sono tutti tornati ad usarlo (anche se li avevano preso 19k BTC) poi hanno ripagato, quindi se bfx riesce a ripagare tutti i ~120k BTC  penso che un sacco di gente continuerà ad usarlo.

non mi è chiara una cosa, in che senso potrebbero "pagare" solo gli hackerati ? Nel senso, se quando io deposito su un exchange, loro tolgono immediatamente i bitcoin dal mio indirizzo e lo passano su un loro "mischiato con gli altri, come fanno a dire quali bitcoin sono stati presi?

da quello che hanno detto e che ho capito:
pare che i bitcoin di un certo utente restino sempre su un indirizzo assegnato a lui, gestito con un address multisig.

sicuramente l'ultimo mese e' stato un mese stagnante, quindi magari la media dei volumi e' piu' bassa...
ma giugno che e' stato un mese scopiettante, i volumi giornalieri sono stati mediamente molto piu' alti...

quindi non so su che base possa venir fatta una media...

e poi commissioni sugli scambi di che ? i passati ? mi sembra veramente poco sensato...
i futuri ? ma figurati, se riapre scappano tutti in un microsecondo...

As disclosed in earlier announcements, all withdrawals, open orders, and open funding offers have been cancelled and all financed positions have been settled. Exact settlement prices were published on August 3rd.

After much thought, analysis, and consultation, we have arrived at the conclusion that losses must be generalized across all accounts and assets. This is the closest approximation to what would happen in a liquidation context. Upon logging into the platform, customers will see that they have experienced a generalized loss percentage of 36.067%. In a later announcement we will explain in full detail the methodology used to compute these losses.

Nuovo aggiornamento sul loro blog:
 
 - http://blog.bitfinex.com/uncategorized/bitfinex-interim-update/


Parti importanti:

Nuovo aggiornamento sul loro blog:
 
 - http://blog.bitfinex.com/uncategorized/bitfinex-interim-update/


Parti importanti:

scusate, mi e' venuta un'idea magari bislacca, ma chissa'

non capisco perche' si indaga sempre A POSTERIORI su chi c'e' dietro a un exchange,
intendo dopo che sono spariti dei bitcoin, per poi scoprire che ci sono personaggi
poco raccomandabili !

l'idea molto semplice e':

ma non potremmo almeno indagare prima, ossia cercare di scoprire PRIMA
che succedano fattacci chi c'e' dietro un exchange, e quindi fare una sorta di
"organigramma" delle persone che ci sono dietro ? (che so il ceo, il cto, dove e' situato... )

TLDR: Estimated $6 million worth of socialized loss taken from ETH and ETC balances. over $66 million in socialized losses for USD, BTC and LTC balances

la verità è che quando hai parecchio valore in mano ed hai la possibilità di farlo sparire abbastanza facilente come con i bitcoin , l'occasione fa l'uomo ladro.

E aggiungerei anche che non c'è escrow che tenga, davanti a certe cifre traballano tutti.

E aggiungerei anche che non c'è escrow che tenga, davanti a certe cifre traballano tutti.

IMPORTANT: If your email password is the same as your Bitfinex password, please first change your email password and then return here to proceed with reseting your Bitfinex password afterwards.

ve che bella chicca sta girando:

http://www.cftc.gov/idc/groups/public/@lrenforcementactions/documents/legalpleading/enfbfxnaorder060216.pdf

E aggiungerei anche che non c'è escrow che tenga, davanti a certe cifre traballano tutti.

C'e' questo annuncio se loggate su bitfinex:



questo vuol dire che si tenevano le password in chiaro e che se le sono fatte fottere.

bah.

In the spring of 2015, approximately 1,500 Bitcoin were stolen from Bitfinex’s hot wallet. As a result they implemented a multi-signature wallet solution: BitGo(ne With The Wind). Each user had their own segregated and supposedly secure wallet.

Bitfinex held two keys, one hot, one cold backup. BitGo held another as a way to enforce spending limits. 2 of 3 keys were needed to sign any transaction. Bitfinex management was very confident this would eliminate the possibility of a large scale theft of customer’s Bitcoin.

However in the aftermath of the incident, it has become clear that rather than making the exchange more secure, the Bitfinex and BitGo partnership turned Bitfinex into one giant hot wallet.

BitGo blindly signed any transaction emitting from Bitfinex. That’s right: rather than making a secure, audited wallet with spending limits and failsafes, Bitfinex paid BitGo a bunch of money to make its exchange the most insecure Bitcoin operation on the planet. The only innovation was using two hot keys instead of one.

As any educated Bitcoin user could tell you: if the keys are hot, they are at risk. Simply adding another hot key doesn’t help.

Mi chiedo una cosa, se ora tutti i membri di bitfinex richiedono i prelievi di tutte le coin (non solo bitcoin), fisicamente, bitfinex li ha per pagare ? Perchè io su un exchange che fa pagare a me un loro errore, non ci terrei nemmeno un satoshi.

Si.

Quel 36% tolto è stati sostituito con i token BFC corrispondendi (il loro valore al lancio sarà 1$)

Non ho ancora capito come funzioneranno, ma è probabile che ogni 2 mesi riceveranno dei dividendi.

la mia idea su come funzionera'  BFC e' questa:
verranno tradati sul loro exchange come una qualsiasi altra crypto (ma solo sul loro exchange)
poi il valore del loro dei BFC con (magari con una una serie di pump e dump) salira' notevolmente :)
(gia' il fatto che vengano valutati 1 $ la dice lunga)

vediamo se ho capacita' divinatorie ....

(gia' il fatto che vengano valutati 1 $ la dice lunga)

qualcuno ai tempi ci aveva provato con i Goxcoin, sappiamo poi com'è andata a finire ::)

Si.

Quel 36% tolto è stati sostituito con i token BFC corrispondendi (il loro valore al lancio sarà 1$)

Non ho ancora capito come funzioneranno, ma è probabile che ogni 2 mesi riceveranno dei dividendi.

ho visto che bitcoinwisdom ha ricominciato a dare le quotazioni bitfinex...

hanno riaperto le contrattazioni ?

Si, ma ancora nulla per i depositi e i ritiri.


https://www.bitfinex.com/posts/133

Io non ho capito cosa sono le operazioni a margine che hanno chiuso, come posso cercare documentazione per capire di cosa si tratta?

https://www.fxcm.com/it/supporto/faq/requisiti-di-margine/

comunque sono fondamentalmente "scommesse" sul futuro,
tipo che entro 3 giorni il prezzo sara' X

Ma se se ti "chiudono" forzatamente  l'operazione al secondo giorno,
tu ti trovi costretto a ricoprirti al prezzo del secondo giorno,

Ho capito che ci sono di mezzo le leve e quindi i moltiplicatori. Ho un BTC ma compro USD per 10 BTC, se rivendo a prezzo maggiore guadagno 10x e se perdo, perdo 10x, per le scommesse invece non mi è chiara la logica ...

Vediamo se capisco, io vendo oggi 10 BTC per 5970 USD e mi impegno a comprarli tra 3 giorni al prezzo di mercato, se costano meno ci guadagno se costano di piu' ci rimetto, in ogni caso se me lo chiudono tra 2 giorni al posto di 3, a prescindere dal guadagno o meno, io potrei non avere ancora i fondi che magari sono impegnati in altra operazione e che si libereranno tra 3 giorni e non tra 2?
E' questo il problema o ci sono meccanismi che ancora mi sfuggono?

Il margine si può considerare un deposito cauzionale richiesto per mantenere le posizioni aperte. Non si tratta di una commissione o un costo di transazione, ma semplicemente di una porzione del patrimonio presente sul conto, accantonata e stanziata come garanzia di adempimento.

Si, ma ancora nulla per i depositi e i ritiri.


https://www.bitfinex.com/posts/133

hanno abilitato depositi e prelievi ?

Si, qualche customers ha anche ritirato ma alcuni hanno ancora dei problemi tipo questo utente qui:

 - https://www.reddit.com/r/Bitcoin/comments/4xjz4b/bitfinex_still_holding_funds_frozen/

Interim Update

August 17, 2016

We are now in a position to offer our customers and the public updates on a few key areas associated with the security breach that occurred on August 2nd. Specifically, we want to provide you with preliminary information about the breach itself and about security enhancements that have been made to prevent its recurrence. We also need to give you some further background on the commitment of resources to the effort to satisfy outstanding customer losses through the tokens.

Ledger Labs Inc., a top blockchain forensics and technology firm, is undertaking an analysis of our systems to determine exactly how the security breach occurred and to make our system’s design better going forward. We engaged Ledger Labs in the hours immediately after the attack happened. The investigation is ongoing. We are also in the process of engaging Ledger Labs to perform an audit of our complete balance sheet for both cryptocurrency and fiat assets and liabilities.

The exact attack vector is as yet unknown, but Ledger Labs has already identified certain areas in our architecture that can be improved. Ledger Labs is working closely with our development and operations personnel to ensure that all of their recommendations are understood and fully implemented. The key security breach, which allowed the amount of bitcoins released by BitGo to be increased without BitGo realizing it or alerting us, has been squarely addressed. We have currently suspended use of the BitGo segregated multi-signature wallet solution and have re-implemented robust and safe multi-signature cold storage procedures, with minimal coins exposed on our hot wallet. We are reassessing our storage options, both internally and with potential third party multi-sig vendors.

We would like to address some stories that have circulated online stating that management has contributed no property to compensating our customers. This is false. Management has committed all reserves of the business with a view to making our customers whole. Moreover, any principals and employees of the business with any property on Bitfinex were subject to the loss allocation. In point of fact, two out of the top ten BFX token-holders are in our management team. We assure everyone that we feel the loss acutely, both as a company and as individual customers.

However, we need to be clear that we have also, after committing those resources, held back certain amounts to pay our forensic investigators, to hire auditors and other advisors to work through these issues, to build our systems so that this security breach does not happen again, and for other contingent liabilities—all of which takes time and money. Our best efforts to repay customers can only bear fruit with the determination and resources to make it happen. We are committed to deploying all of our resources to getting this done. To the extent that reserves are not needed for these purposes, they will be used to redeem token-holders as quickly as possible.

We are actively engaged with efforts to convert certain qualifying token-holders to shareholders of Bitfinex and to redeeming the remaining BFX tokens through a combination of new capital and earnings. We have re-enabled most of the features on the platform and are deeply grateful to our customers, who continue to trade with and help us rebuild our brand. As always, we continue to listen to our customers and welcome their feedback, questions, and concerns.

We will continue to provide further updates as and when we are able.

The Bitfinex Team

We would like to address some stories that have circulated online stating that management has contributed no property to compensating our customers. This is false. Management has committed all reserves of the business with a view to making our customers whole. Moreover, any principals and employees of the business with any property on Bitfinex were subject to the loss allocation. In point of fact, two out of the top ten BFX token-holders are in our management team. We assure everyone that we feel the loss acutely, both as a company and as individual customers.