Bitcoin Forum

Ciao raga, mi vergogno un pò a dirlo ma credo mi abbiano rubato dal portafoglio di Blockchain 0.12481696 BTC
in pratica è partita una transazione da sola senza che io avessi fatto nulla a questo indirizzo
https://blockchain.info/it/address/1HKwkGpDTYXuvG41gTzsycXpntXh1zJafD
Come può essere, possibile mi abbiano rubato l'accaunt e abbiano fatto questa transazione così velocemente??

Pare che non sia successo solo a te: https://bitcointalk.org/index.php?topic=173149.0

quello che vorrei capire io è come ha fatto???
il wallet credo di averlo aperto solo da mac os non credo di essere passato mai da windows al massimo ho installato l'applicazione per iphone.
Quindi come ha fatto a conoscere la password???

Io non ne capisco molto, ma nel caso che ti ho linkato pare che siano acceduti al wallet di blockchain tramite alcune chat sui bitcoin.

Tu hai mai usato qualcuna di queste chat mentre avevi il wallet aperto?

no io non ho mai usato chat di bitcoin, apparte questo forum.
il wallet lo avrò aperto un paio di settimane fa, usando il mac, non credo di essermi loggato mai al wallet con windows. Quindi non capisco se mi hanno fottuto la password tramite qualche keyloggher oppure cosa più importante conoscono la password dell'email ed è stato facile per lui\loro avere accesso al pallet.

Ti consiglio di utilizzare un'autenticazione a due passi (https://bitcointalk.org/index.php?topic=176569.0) con OTP.

Blockchain.info supporta Google Authenticator, occhio però che sono dei deficenti: l'autenticazione via OTP viene attivata senza conferme, e se scade il timeout di sessione prima che tu abbia fotografato il codice QR perdi l'accesso all'account. A me è successo.

Dopo aver letto la discussione linkata, comunque ho deciso di spostare i Bitcoin che avevo su blockchain su un wallet locale, non si sa mai ...

Io ancora non riesco a capire come hanno fatto a prendermi la password. Anche io non utilizzeró più i wallet online, meglio averli sempre in locale i bitcoin.
Erano i miei primi bitcoin prodotti  :'(
Li avevo spostati ieri mattina da bitminter a blockchain.

Probabilmente Blockchain è/era vulnerabile a qualche forma di cross site scripting XSS e probabilmente non gli è servito sapere la tua password ma ti hanno "fregato la sessione" se eri loggato in blockchain mentre frequentavi quella chat.
Oppure hanno usato un keylogger Javascript...e qua sarebbe interessante saperne di più...

-morale della favola non mi fidarsi troppo dei wallet online

è terribile, anche a me hanno rubato i bitcoin su blockchain... password 12 cifre di lettere e numeri totalmente senza senso....
pur avendo linux a volte ho usato anche windows per loggarmi quindi nn so di chi è la colpa...a quanto ho capito leggendo il topic sopra i dati vengono rubati in locale...
ho visto che c'è pure una guida per metterli al sicuro: https://bitcointalk.org/index.php?topic=17240.0
solo che bisogna ogni volta usare il live cd, è una rottura ma effettivamente l'unico modo per essere al sicuro è non salvare copie sul pc, e fare almeno una doppia copia su 2 supporti esterni diversi. In questo caso come bisogna fare per i salvataggi? nel senso se ho fatto 2 copie di backup su 2 supporti, ogni volta che uso il mio wallet devo rifare il backup sui 2 supporti sovrascrivendo (o cmq cancellando) quello che c'era prima?

ho fatto però la prova su blockchain utilizzando l'autenticazione a 2 fattori con google authenticator:
se non inserisci il codice giusto dopo 5 tentativi blocca l'account, e un hacker avrebbe solo 1-2 minuti di tempo (non ho cronometrato, cmq i codici di authenticator durano molto poco) per prendere il codice ricevuto dal keylogger e utilizzarlo, quindi è un metodo abbastanza sicuro, o ho sbagliato qualche passaggio?

ripeto non ho mai usato nessuna chat e mi sono collegato all'accaunt di blockchain solamente tramite il mio macbook e tramite programma iphone scaricato dall'applestore non da cydia.
Un mistero, come abbia fatto.
Fortuna che ci stavo nulla in quel conto solo i bitcoin prodotti da bitminter.
Cmq da ieri sera non utilizzo più wallet online, molto meglio usare un client locale, ora sto provando multibit per macos

Sembra che il punto debole sia il nome che viene assegnato al wallet, forse troppo facile da trovare e alla criptografia usata per criptare i dati del wallet.
Al di la quindi della complessità della password.

scusate l'ignoranza, mi sfugge qualche passaggio.
il wallet è cifrato con la password?
cos'è il nome assegnato al wallet? il nome utente?

Mi baso su quanto letto qua: https://bitcointalk.org/index.php?topic=173149.msg1816127#msg1816127
Hai impostato un Alias al tuo wallet?
E' probabile che un Alias sia relativamente facile da trovare.
Trovato l'Alias "forse" (sempre basandomi su quanto letto nella discussione), viene già scaricato il wallet criptato.
A quel punto si fa un bruteforce per decriptare il wallet, e non semplicemente trovare la password, ma pare qualcosa di più semplice.

E' probabile che la soluzione più semplice sarebbe togliere l'Alias o rendere anche quello molto complesso, almeno fino a qualche aggiornamento sulla situazione da parte dell'admin di blockchain.info.

a me hanno rubato un intero bitcoin dal mio account di silk road, c'era un link fasullo a silk road su hidden wiki in cui ti chiedeva i dati di accesso.

Apri un nuovo topic per chiedere (come è tua consuetudine)

Ma anche no!

io non ho utilizzato nessuno alias, almeno che non ne abbia creato uno automaticamente quando ho impostato l'accaunt di blockchain sul mio iphone tramite l'app.

Hai modo di controllare?

se fosse così è a dir poco assurdo. uno può impostare mille tipi di autenticazione e alla fine basta scoprire un alias per avere il wallet e farci qualsiasi cosa per decifrarlo? spero tanto che non sia così, quando ho un po di tempo provo a scoprirlo.

hai ragione c'è un alias sul mio conto ora però non riesco a capire come hanno fatto dall'alias a risalire alla password.


edit:
ma poi come fanno a risalire al alias, ci vanno a tentativi??? Io non ho pubblicato da nessuna parte questo alias, e nemmeno lo avevo mai utilizzato.

una possibile soluzione però potrebbe essere impostare la doppia password,  necessaria in caso di pagamenti

L'Alias è qualcosa di abbastanza comune? Un nick/nome comunemente usato?
Comunque se è di poche lettere, si, può essere che vadano per tentativi, con delle liste di nomi più comuni.

La doppia password al momento del pagamento non servirebbe credo, perchè una volta decriptato il wallet si ha accesso alle chiavi private.

si l'alias era un nick comunemente usato. Si dovrebbe informare blockchain di questa falla.
Credo che anche senza alias sia possibile rubare il wallet. Pensa a tutti quei siti che offrono pochi centesimi di bitcoin in cambio di qualche click, lì tu vai a scrivere l'indirizzo del wallet e loro poi vedono se appartiene a blockchain, infine non so come riescono a fare un bruteforce per trovare la password. Io ho usato ultimamente qualche link che in cambio di pochi click mi davano qualche centesimo di bitcoin e credo di averli presi proprio su questo forum. Non vorrei sbagliarmi

mettendo il google authenticator, cm dicevo in un precedente post, si hanno 5 tentativi per trovare alias e codice, dopodiche l'account viene bloccato, ditemi se secondo voi in questo modo si dovrebbe poter proteggere l'account da bruteforce sul nome utente. rimane il fatto che se è veramente possibile ottenere un wallet dal nome utente, il sito di wallet online più utilizzato al mondo è meno sicuro del sito di un bambino di 5 anni che vende caramelle.

SE ... e ripeto "SE", il problema è questo, penso di si, che il Google Authenticator che blocca l'accesso dopo 5 tentativi sia un buon metodo.
L'altro come ho detto è quello di usare un Alias molto complesso.
Attendo pure io risposte a riguardo da Piuk. (l'admin)

occhio anche a finti siti come questo :

http://www.blockchian [SCAM].info/

chian non chain

a me oggi due transazioni da -0.0006 BTC sono state fatte senza la mia volonta verso le 18 e 20 a distanza ravvicinata... forse stesso problema

una transazione così piccola sembra più un fee di qualche servizio... una volta dentro ruberebbero tutto, non briciole

Non avevo niente su blockchain... solo briciole! Pero potrebbe essere... so solo che è impazzito ora mi ha messo circa 0.15 in piu che non dovevo avere ho e mi ha fatto fare un operazione in rosso perché i bitcoin sono arrivati dopo..:S

Ho come la sensazione che si stia dando a blockchain.info le colpe dei casini dei clienti.  :-\

Può essere, l'intervento di Mike Hearn mi ha comunque preoccupato.

si ma io cliente come posso venire a conoscere di una falla del genere???
in pratica da un alias sono risaliti ad una password abbastanza complessa come può essere???
e poi da me hanno preso lo stesso importo che mi aveva versato bitminter, senza svuotare completamente il wallet.

Ecco, quest'ultima parte è più interessante.
A quando risale quest'ultima transazione? E' fra le ultime o fra le prime?

Di quale intervento stai parlando Host ?

https://bitcointalk.org/index.php?topic=173149.msg1816127#msg1816127

 2013-04-15 10:04:11
0.12481096 BTC
Questa è la transazione effettuata da bitminter
 


 2013-04-15 23:33:41
-0.12481096 BTC

Qui invece quando mi hanno rubato, poi non ci sono stati più movimenti adesso nel conto ci stanno pochi centesimi.

Un utente mi fa notare che blockchain risulta offline infatti viene mostrata la cache di CloudFlare..  :-\

Caspita, mi era sfuggito il post: se è davvero così non è molto sicuro. Trovare un modo per sfruttare la falla non dovrebbe essere eccessivamente difficile (specialmente se il nome del wallet è facile da scoprire).
EDIT:
Speriamo che il fatto che sono 10 ore abbondanti che il sito è offline sia dovuto ad un aggiornamento dello stesso e non a cose peggiori :(
(anche se un minimo di comunicazione non farebbe male)

Rettifico: su twitter sono arrivati un po' di messaggi:
Due to a large DDOS attack the datacenter has null routed our IP addresses during the night. Servers themselves are fine.

e

Should not be long now until were back. Still investigating how the attacker was able to discover our real none-cloudflare IPs.

Quindi pare che i server non siano stati compromessi ma che si sia trattato di un DDOS che ha fatto scattare le protezioni di cloudfare

Almeno un annuncio, due righe, qualche info sul motivo...

il fatto che non dicano la reale causa mi fa pensare che non vogliano dire di essere stati loro ad aver fatto una cagata...

a questo punto potrebbero essere a rischio tutti gli account su blockchain.info

può essere che abbiamo forzato l'invio dei backup del wallet dei vari utenti via email(forzando altri indirizzi) per poi fare brute force con calma offline, se a quanto pare hanno usato un sistema semplice per la cifratura del backup usando appunto l'alias dell'utente creando rainbow table ad hoc con una GPU media ci si mette davvero poco a decifrare il wallet :(

Risposta di Piuk (l'admin):
https://bitcointalk.org/index.php?topic=40264.msg1873718#msg1873718

Strongcoin è più sicuro di blockchain?


 What is a hybrid wallet ?

A hybrid wallet allows you to send and receive Bitcoins just like any other wallet. However, the Bitcoin private key which is required to send money is encrypted in your browser before it reaches our servers.
 (https://www.strongcoin.com/?locale=en)

La miglior cosa, sempre ribadita sul forum, è il proprio wallet a casa propria. Con le opportune protezioni e con un bel backup si è sicuramente più tranquilli.
In ogni caso mai usato Strongcoin, me lo hai fatto conoscere ora.. ciao

Sembra che funzioni allo stesso modo di blockchain, è se non ho capito male alla schermata di login blockchain invia la chiave privata del wallet al browser, se questo riesce a decifrarla con la password immessa ok altrimenti bona. (ma detta cosi sembra dannatamente insicuro.).
Piuttosto state attenti a disabilitare eventuali plugin del browser come java (questo se lo avete attivo serve solo per bucarvi il browser), adobe reader e tutte le altre cavolate non indispensabili.
E comunque utilizzare electrum ? Non scarica la blockchain in locale e dovete solo stare attenti a fare il backup del wallet una volta soltanto.

altri 3 tentativi di accesso al mio account bloccati grazie all'utilizzo di authenticator....ma non si può fare nulla per risalire a chi è stato a rubarmi i bitcoin? blockchain non può fare nulla per recuperarli?

Ti consiglio di farti un altro wallet su blockchain.info
Magari anche ripulire il tuo computer, o formattarlo.

Ora nelle impostazioni di blockchain si può anche impedire l'accesso ad IP provenienti dalla rete tor.
Prova anche ad abilitare quell'opzione.

ho fatto delle scansioni antivirus, rootkit e altro sul mio sistema linux, tra poco avrò i risultati.

ottima cosa il blocco indirizzi tor, l'ho abilitato subito, grazie

primi accessi bloccati grazie al blocco indirizzi tor:

Accesso tentativo bloccato

Time: 2013-05-16 03:29:28
IP Address: 171.25.193.235 (Sweden)
User Agent: Mozilla/5.0
Reason: TOR ip addresses are blocked from this wallet.

Time: 2013-05-16 01:20:17
IP Address: 50.7.184.58 (Netherlands)
User Agent: Mozilla/5.0
Reason: TOR ip addresses are blocked from this wallet.

Time: 2013-05-16 01:17:35
IP Address: 50.7.184.58 (Netherlands)
User Agent: Mozilla/5.0
Reason: TOR ip addresses are blocked from this wallet.

Time: 2013-05-16 01:15:26
IP Address: 31.172.30.4 (Germany)
User Agent: Mozilla/5.0
Reason: TOR ip addresses are blocked from this wallet.

grazie ancora del consiglio

0_0
vatti a fidare dei wallet elettronici senza doppia autenticazione...

blockchain ce l'ha, io ho messo autenthicator

quindi se il problema è quello degli accessi "di frodo" da parte di terzi al proprio account tu dovresti stare più tranquillo in teoria.

a meno che qualcuno non buca l'algoritmo di google autenthicator, tu hai preso tutte le precauzioni necessarie...

Presenta querela, e segnala il sito fasullo in ogni modo (credo che anche Google abbia questa funzionalità).

L'argomento sicurezza mi interessa (visto che a me hanno rubato qualcosa da btc-e). Pero non riesco a capire quanto discusso.
Questo blockchain e un wallet online? Mi pare che tra i suggerimenti ci sia quello di avere il wallet solo in locale?
Secondo voi Cryptsy con doppia autenticazione è sicuro?

Si potrebbe rendere l'argomento sicurezza comprensibile anche ai meno esperti.
se la tattica keylogger, è realmente un punto debole, magari e facilmente risolvibile con qualche linea di codice in autohotkey. Che mi offro di scrivere.

Gia quando accedo ad esempio io digito una parte della password e poi con una combinazione di tasti mi si incolla la restante.
Ovviamente le cose si possono incasinare in modo incredibile per eventuali keylogger con un po di fantasia e personalizzazione.

basta stare alla larga da siti poco raccomandabili e installare solo software proveniente da fonti affidabili,se proprio volete testare il wallet in .exe dell'ultima scam coin uscita 2 minuti fa vi consiglio di eseguirlo in una macchina virtuale e dare uno sguardo ai processi in esecuzione.


in sintesi: non maneggiate denaro su una macchina con os pirata e/o con programmi di ogni genere scaricati dai torrent,usate quel pc solo per svago ;D