Bitcoin Forum

Erledigt

Schon wieder jemand? Warum macht ihr kein passwort reset? Gibt doch im Profil eine Geheimfrage wo man die Antwort gibt, die nur man selbst wissen kann.

edit: grad probiert...geht wunderbar wenn man die Antwort kennt...braucht man nichtmals die mail adresse für.

Wurde genau mit der Geheimfrage ertappt. Dumm gelaufen!

Aber man braucht doch erst Accountzugriff, bevor man irgendwas ändern kann?!

Grade mal probiert...wenn der Hacker den Account hat, kann er selbst die Geheimfrage ändern...wie sinnfrei.
Brauchst also die e-mail mit dem du den Account registriert hast, wenn nicht, dann pech.

edit: Anscheinend kann der Hacker dann auch die Mail Adresse ändern. Ist ja noch lustiger  :o

Die Sicherheitsmaßnahmen sind hier wirklich lächerlich, wenn man bedenkt, um welche Summen es hier geht! Würde mich schon lange über eine 2FA für BTCTALK freuen.

DAoneNonlyG loggt regelmäßig ein und wurde angeblich auch mal gehackt...

Werde jetzt sogar via PN erpresst.

Mach mal screenshot von der pn und stell se hier rein.

Oh man, was geht denn hier - evtl. ein Überbleibsel vom btctalk hack aus November?

hab mich schon gewundert, das nach BTC gefragt werde
ich bin doch immer der sie sich von dir ausleihen muss ;D

Dann könnte der echte LOBSTER doch eine Sendeadresse der letzten Transaktion von euch ja mit einer Nachricht signieren und wenn er das kann, kann man recht sicher sein das er der richtige ist.

Juup, mein acci wurde auch gehackt... angeblich is der acci gesperrt, aber scheinbar bekommt der hacker immernoch pn notifys usw...

is schon traurig wieviel unterstützung man von der administrativen seite hier bekommt... echt schade, das phantastisch "nur" modrechte hat, denke dann würde schonma einiges schneller passieren bzw. überhaupt ma was passieren...

Naja ich denke zumindest die aktiven Accounts wie z.B pazor werden da das passwort gewechselt haben.
Ein wenig Paranoia bekommt man bei den laufenden Meldungen schon^^ zumal mir bald die Passwörter, die ich mir noch merken kann ausgehen. Wird dann wohl doch auf Keepass rauslaufen -.-

Bezüglich der Accountsicherheit ists schon lustig. Bekommt man eine Bestätigungsmail, wenn man versucht die eingetragene mailaddy zu wechseln?

Das is ja dreist  ::)

Naja die müssen aber auch sichergehen, das nicht ein vermeintlich gehackter Account dann dem Betrüger überreicht wird...aber da wird theymos als Admin doch sicherlich logs oder was auch immer in einer Datenbank gespeichert haben um sowas rauszufinden.

nö, man bekommt keine mail... :(

hab ich auch schon gemacht, bisher ohne erfolg wie man sieht... :(

Das gibt mir ja Hoffnung...NICHT! phantastisch ist ein Super Mod und hat sich sofort um mein Anliegen gekümmert. Echt schade, dass sogar ein Moderator nicht mal Rechte hat, Accounts zu sperren. In jedem anderen Forum dauert das 10-20min. Hast du schonmal theymos angeschrieben?

phantastisch hat auch in meinem fall alles was ihm möglich war gemacht!! top...

theymos hab ich mehr als einma angeschrieben.... nach ein paar tagen kam dann echt ma ne antwort....auf die hab ich 8 tage gewartet und so sah sie aus...
auf meine antwort mit der signierten nachricht hab ich bisher keine antwort erhalten...  :(

Super und so lange kann der Hacker sich im Account rumtreiben? Was für eine scheiße!

ich vermute eher den Gox'schen DB-Dump letztens, enthielt ja Passwörter

Mal doof gefragt:
- Woran merkt man den Hack? Weil mein Passwort nicht mehr geht? Ich hab ewige Anmeldung per Cookie, wie ist das da?
- Wie soll das von Theymos gepostete Vorgehen klappen? Der neue Inhaber kann doch einfach hinterlegte Adressen/Posts löschen, schon bekommt der richtige Benutzer nichts mehr wieder, und zum sperren hat er keinen Bock. WTF?

bist dann ausgeloggt...

vllt werden die sachen geloggt... aber bei dem einsatz der von seiner seite kommt denk ich eher das auch nix geloggt wird...

ich hab das bisher nie so direkt ausgesprochen, weil man nie weiß wessen privelegierten zorn man sonst hier anzieht, aber

selbst in "Hacker"Scriptkiddie-Foren gibts mehr Sicherheit und weniger erfolgreiche Scammer als hier

Hatte völlig anderes Passwort :-/



Merkst du, wenn du zum Beispiel plötzlich ausgeloggt bist, trotz Cookie.

traurig... aber wahr...

Dann schick ich dir einen Coin und bekomme trotzdem meinen Account nicht. Vorschlag: du schickst mir die Daten, ich dir danach den Coin?

alten, das du dich überhaupt traust, das wort "Ehre" zu tippen...

Du bist aber kein Hacker.

http://www.ccc.de/de/hackerethik

• Öffentliche Daten nützen, private Daten schützen.

Da ist was dran.

da is definitiv was dran, aber er sollte einem schon vorher die möglichkeit geben, sich so zu verifizieren oder nich?? aber auf nachfragen, ob es eine möglichkeit gibt, wieder an den acci zu kommen gar nich zu beantworten und denn einfach zu sagen, du kannst es nich beweisen, dein pech is irgendwie ne scheiß methode(zu ma der scammer dann ja immernoch die notifys zu den pns bekommt(weil auch da wird natürlich auch nix gegen gemacht) und somit im endeffekt weitere möglichkeiten zum scammen ganz einfach per mail bekommt)... bin in den 2,5 jahren hier im forum 3 ma auf beiträge von theymos gestoßen... einma den von mir verlinkten, dann als es um nen neuen deutschsprachigen mod ging und die threads, wo die werbeslots hier verkauft werden... aber nich ein beitrag, wo er irgendwelchen scammern hier im forum nen riegel vorschiebt, gibt mir irgendwie zu denken...

hallo allerseits,

wie schon bekannt sein dürfte, besitze auch ich keine kontrolle über den account "pazor" mehr.

das password wurde nicht überwunden. das zur allgemeinen information.
allerdings war die "geheime sicherheitsfrage" nicht so geheim und sicher, wie ich dachte.
 :(

meine empfehlung:
- am besten merkt man sich sein password gut.
- verzichtet auf irgendeine sicherheitsfrage, es sei denn, diese ist wirklich geheim und sicher.
- und bei wichtigen sachen / aktionen nur mit signierten nachrichten arbeiten

konsequenzen für mich:
ich stelle mit sofortiger wirkung meinen treuhand dienst ein
ich rechne damit, daß der account "pazor" für eine lange zeit nicht mehr unter meiner kontrolle sein wird
ich bleibe vorerst passiver teilnehmer im forum (alle 6min als newbie einen beitrag schreiben zu können ist nicht lustig)

schade, dass ich nicht mehr meinen avatar ändern kann...
 ;D

gruß
pazor

Hi pazor,

Was für ein Zufall. Gerade wollte ich fragen, warum du dich noch nicht gemeldet hattest. Bei mir auch mit der Sicherheitsfrage, wie konnte ich nur darauf reinfallen. Fest definierte Sicherheitsfragen sind wohl am Besten. Hab das ungute Gefühl das candoo da hinter steckt :D

Hast du dich schon bei theymos gemeldet?

Gruß

theymos und phantastisch sind per signierter nachricht informiert.

mein lob an phantastisch, er hat umgehend im forum aktiv auf den account missbrauch hingewiesen.
cagrund war glaube ich allerdings fixer :)

von theymos ist bisher keine antwort zu lesen.
wie gesagt ich rechne damit, dass der account "pazor", verloren ist.

@A hacker
im prinzip hat deine aktion etwas positives. sie zeigt schwachstellen auf.
ob nun davon alle hier profitieren, stelle ich dahin.
du hättest durchaus eine belohnung verdient und ich wäre auch bereit mich erkenntlich zu zeigen,
allerdings hast du zwei fehler gemacht.

1. du hast versucht zu erpressen
"Für einen Bitcoin an 174X17nR7vEQBQo4GXKRGMGaTmB49Gf1yT
bekommst du die Zugangsdaten."

2. du hast mit meinem namen straftaten begangen
https://bitcointalk.org/index.php?topic=502022.msg5539452#msg5539452

schon einer der beiden gründe disqualifiziert dich für den pazor-sicherheits-award 2014 
und damit sagen deine taten etwas über deine ehre aus.
;)

Du musst echt gelitten haben^^

Die einzige Möglichkeit, mit der man gewährleisten könnte, dass ein Accountdieb dann die eigene Signatur / Adresse nicht einfach löscht, wäre, sie in einem Auktionsthread zu posten.
Folglich wäre es sinnvoll, im Auktionsforum einen Thread zu eröffnen, in dem jeder seine Signatur reinpasten kann.
Was aber wiederum gegen die Forumsregeln ist, weil das offtopic wäre ::)

Also brauchen wir ein extra 2FA-Subforum, nicht löschbar, wo jeder seine Signaturen reinkritzeln darf. :)

https://bitcointalk.org/index.php?topic=502920.new#new

Oder hier posten und signieren, da hat man auch den Nachweis für Thymos

Versteh mich nicht falsch, aber was ist wenn jemand deinen Account hacked und die Adressen ändert?

Edit: hat sich erledigt

Nochmal für alle anderen: Das würde nicht funktionieren, weil meine Adresse von alle zitiert wird bzw. zitiert werden soll. Es müssten also alle Accounts gleichzeitig gehackt werden.

Die Idee scheint aber bei der Masse nicht so gut anzukommen. Bisher hat siech noch niemand im thread gemeldet. Ich bin natürlich für Verbesserungsvorschläge offen

Tja, dummerweise kann man immer noch auch im Auktionsforum editieren: https://bitcointalk.org/index.php?topic=469546.msg5217674#msg5217674

Ich würde ja gerne, aber erst wieder wenn ich meinen Account zurückhabe :D

Das tolle Skriptkiddie hat sich hier ja schon gemeldet - anzeige erstatten, polizei ihre arbeit machen lassen, und der kleine junge der noch bei mama wohnt und sich coins erpresst ist schnell gefasst. Bezweifle das jemand, der "ehre" und seine Tätigkeit in einem Satz verwendet, in der Lage ist n Proxy zu benutzen.

Geht Online oder halt direkt hingehen :P

Auch ein Skriptkiddie sollte in der Lage sein VPN zu benutzen.

Es ist schwer, und zwar extrem schwer, im Internet richtig Anonym zu bleiben. Letztendlich ist die einzige Frage, wieviel bei der Suche investiert wird und wie schnell die Suche beginnt.

Haha guter Witz...aus phantastisch und mir nicht ersichtlichen gründen, kann man im Auktionsboard lustig editieren, löschen und selbst moderieren wenn man das möchte :D
Theymos scheint es auch nicht weiter zu interessieren.

edit: ups twbt hatte ja drauf hingewiesen

Tja, doof :'(
Aber es gibt ja noch das englische Auktionsforum, da geht es nicht, oder? ::)

Und letztlich will ich ja darauf hinaus.
Wie wäre es mit einem Subforum, in dem man eben nicht löschen kann (so wie in einem funktionierenden Auktionsforum), wo dann jeder seine Signatur reinpastet?

Wir könnten dafür auch das alte Web of Trust verwenden.

So ein Relikt aus 2011er Bitcoin: http://bitcoin-otc.com/trust.php

Das akzeptiert theymos aber nicht:

h4x0r-kiddies prahlen immer mit ihren VPNs

Jedoch ist es in den seltensten Fällen die IP, womit man sie doch findet

Und die werden immer irgendwann erwischt aka "Busted". immer

Was will die Polizei machen? theymos kontaktieren und um die Herausgabe der Adressen bitten? Was ist wenn er sich via TOR anonymisiert? Keine Chance. Vor allem bevor die Dorf Polizei hier irgendwas macht, wurden die Verbindungsdaten sowieso schon beim Provider gelöscht (Vortatsdatenspeicherung).

Er soll jetzt glücklich sein, sich einen Kakao und ein Eis backen und sich dann mit seinen gescammten 1.4 BTC Champagner und Nutten bestellen. Herzlichen Glückwunsch du Versager!

Die beschränken sich üblicherweise nicht nur auf ein "Geschäftsfeld"
Es wird noch munter gecardet, gefaked, gephisht und was weiß ich

Und irgendwo machen die dann Fehler, zeigen Verknüpfungen zum RL
Viele werden auch an der Packstation gepackt beim Pakete abholen
Dann kriegt der halt nicht wegen BTC mal Besuch aber was anderem

Wenn das Opfer immer nur "da passiert doch eh nix" sagt, kann der Verbrecher immer weiter machen.
Egal womit.

Was soll ich der Polizei erzählen? Das mein Account gehackt wurde? Da ist mir der Aufwand zu hoch, wenn man die Erfolgschance betrachtet. Die meisten hier haben Ahnung von Technik / Internet und Wissen, das es Wege gibt sich zu verbergen. Sollte pazor / DaOne sich auch entscheiden eine Anzeige zu machen, würde ich es mit nochmal überlegen.

nun wenn man es genau betrachtet, kämen einige delikte zum tragen

- erpressung
- betrug
- identitätsdiebstahl
- sabotage
- verstoss gegen datenschutzbestimmungen
- verleumdung
- beleidigung

ein findiger anwalt und ein motivierter staatsanwalt können den einen oder anderen tatbestand zusätzlich konstruieren.

das ist kein spiel mehr
 ;)

Also mir wird das zu blöd, da er sich nich nur an meinem acci hier vergriffen hat sondern es auch bei anderen accounts und soweiter vergreift, werd ich wohl anzeige erstatten... aussicht auf erfolg is sicher eher gering, aber jeder macht irgendwann mal einen fehler... und wie pazor_true schon meinte, es kommt ja einiges an straftatbeständen zusammen....

Find ich gut, dass ihr Anzeige erstattet. Auch wenn es mich (glücklicherweise) (bisher) nicht getroffen hat - es gehört solchen Leuten eins auf den Deckel gegeben. Auch wenn die Chancen gering sind, dass so einer, wenn er es richtig anstellt, gefasst wird - eine Chance ist es trotzdem. Soll das Kind doch in den Knast gehen und sich in den A**** f**k*n lassen - verdient hät er es :)

Ein Hack um Schwachstellen aufzuzeigen ist das eine - das hier ist aber von vornherein als Betrug geplant gewesen. Ärgerlich jetzt ist, das euer Name durch so einen Penner in den Dreck gezogen wird.

Moment, wie kann man durch die Geheimfrage gehackt werden?  Das ist doch nur durch Social Engineering möglich und ein Brute Force klappt doch nicht???

Wtf?

Jeder kann die Antwort von anderen Accounts versuchen zu erraten, sofern derjenige eine Frage mit einer Antwort angegeben hat. Du hast zB keine Geheimfrage gesetzt und bist daher schonmal in der Hinsicht sicher :)

In meinem Falle war es Pech, Ausgangslage war dass mich "pazor" (langjähriger Hero Member) angeschrieben hat. Lächerlich ist diese Sicherheitsfrage da

A) nur eine Sicherheitsfrage abgefragt wird und ich erinnere mich bei z.b. Yahoo und PayPal zwei zu haben = safe

B) man kann die Frage selber bestimmen, beispielsweise kann man nehmen: Name meiner Frau, ein wenig Google und das hat sich geklärt, bei Yahoo z.b. gibt es sichere, vordefinierte und Private Fragen, die sich zum einen nicht einfach erraten lassen und dazu nur sehr schwierig rauszukriegen sind (hätte mich pazor gefragt wo mein Vater geboren wurden ist, hätte ich ihm das natürlich NICHT mitgeteilt)

C) reicht der Username aus, um an die Sicherheitsfrage zu kommen. Bei anderen Services muss ich mindestens noch die Email angeben und ggf. das Geburtsdatum

Im Angesicht dass hier unter vielen Accounts Deals im XXXX Bereich durchgeführt werden, ist sogar mein Google Account besser gesichert (zwei Faktor) den ich nur für YouTube (Abos etc.) benutze. Hier sollte man vielleicht endlich mal ansetzen, schon seit Monaten wird mehr Sicherheit seitens der Community gefordert, realisiert das theymos nicht oder will er es nicht realisieren?

Wieso machst du es nicht wie ich:

Beantworte eine Geheimfrage nie korrekt sondern denk dir eine völlig idiotische Antwort aus. Als Beispiel: herduschlampe.

War mal in alten IRC-Zeiten mein Passwort für den BOT der mir OP(operator-status) geben sollte. Ich musste also an den BOT Blowjob(jo das war wirtklich der Nickname meines Channelbots) -op herduschlampe schreiben. Leicht zu merken und damals noch recht sicher. Heute nur noch eine Anekdote.

Jedes Wort für eine Geheimfrage ist gut, ausser die korrekte Antwort. Name der Mutter: gorgonzola. Nicht so leicht auszufragen. Vorallem bekommt man nie die korrekte Antwort vom Opfer.

Das sollte einfach ein eiserner Grundsatz sein. Übrigens war das ein riesen Problem in den Jahren 98-2000 als viele Hotmail-Accounts auf diese Weise gehackt wurden. Also ist dieses Problem nicht neu, sondern 15 Jahre alt und die Lösung die frage falsch zu beantworten wurde damals schon propagandiert. Und es hat gewirkt.

Wir müssen lernen, mit dem Internet umzugehen. So wie wir gelernt haben, Haustüre oder Auto abzuschliessen und wertvolle Sachen nicht sichtbar liegen zu lassen. Wir haben aber auch keine Panzerstahltüren mit 3 verschiedenen Schlössern ans Haus gebaut. Dafür liegt auch kaum noch Geld im Haus rum, jedenfalls nicht so viel, das man deswegen ins Unglück stürzt. Wir haben unser Verhalten angepasst und nicht die Sicherheitsansprüche bis zur Unbenutzbarkeit hochgetrieben.

Leider scheint aber im Internet der Gedanke zu sein, das immer die anderen für die Sicherheit sorgen müssen. Das wird nie funktionieren. Es mag hier und da kleine Verbesserungen geben, aber man muss in erster Linie an sich selbst arbeiten.

+1

Was soll ich noch sagen? Shit happens.

2FA im Forum macht aber auch nur Sinn, wenn man sich nicht per Cookie einloggt. Sich aber jedes mal einloggen zu müssen, dann noch das Handy dabei haben müssen, App suchen und warten bis sie startet, wäre mir zB zu lästig.

Ich würds eher begrüßen, wenn 2FA erst abgefragt wird wenns "heikel" wird. zB um ne PN zu schicken, oder im Marktplatz zu posten, die Grundfunktionen aber per Cookie gehen. wie bei eBay, da kannst auch Artikel beobachten aber Passwort nochmal eingeben musst erst, wenn bieten oder in den Käufe/Verkäufe Bereich willst

Und schon sind wir wieder am Punkt: wieso soll ich aufpassen, ändert doch mal bitte die Technik. dabei gibt es nichts leichteres als eine KI auszutricksen. Eal wie ausgefuchst sie ist. Aber sie macht immer das selbe in einer bestimmten Situation. Also wird jedes Verfahren auch wieder Schwachstellen mitbringen.

Lernt euch selbst zu schützen. Nur was ich selbst mache, mache ich auch richtig. Und wenn ich es nicht richtig mache, sollte ich mal nachdenken, wieso ich Dinge mache von denen ich keinen Schimmer habe. bzw mein persönliches Sicherheitslevel so hoch schrauben, das es dem Risiko des Mediums entspricht. Wenn ich weis, das Forenaccounts gehackt werden können, vertraue ich keiner PM. Ich verifiziere sie.

"Sei nicht böse, aber bevor ich dir 10btc leihe, sage mir wieviel Coins ich dir das letze mal geschickt hab". Ein Hacker gibt hier auf und suchst sich den nächste in der Liste der doof genug ist, ohne nachfragen zu schicken. Vertrauen ist gut, Kontrolle ist besser. Oft gehört, die meisten kapieren es bis ans Lebensende nicht.

@Chefin:
Dazu müssten die Unwissenden wissen, das sie unwissend sind.
"Ich weiß das ich nichts weiß", hat schon vor vielen Jahren jemand nicht unbedingt dummes von sich gegeben.

Ich hab tagtäglich mit Leuten zu tun, denen genau diese Eigenschaft abgeht, und ich zähle das für mich zum sogenannten "Gesunden Menschenverstand".

Nebenbei: Ich find den Vorschlag von Xer0 eigentlich ganz cool.
Lesen kann man sowieso alle Posts, eine 2FA dann nur für den Profil-, PN- und Postzugriff wäre sicher und nicht allzu lästig.
Zwei Nachteile hat die Sache:
1. theymos gibt'n Scheiß auf Sicherheit, hab ich den Eindruck
2. Mit welcher App macht man das? Es gibt mittlerweile fast so viele Auth-Apps, wie es Cryptocoins gibt, und alle haben den Nachteil, das man sie nur an einer Stelle verwenden kann. Egal wie sich wer auch immer entscheiden würde, achttausend User fangen an zu schreien "Och menno, warum nicht Authy/VIP/GoogleAuth/..., die hab ich schon"

GAuth, das ist nämlich die RFC Implementierung
gibts sogar Java Apps für praktisch jedes Handy

Ich besitze kein Appfähiges Handy, werde ich auch vorläufig nicht. Bringt nur Stress und mann muss ständig neue Sicherheitsprobleme lösen die man ohne das Teil nicht hat. Der bei Bitcoin.de nötige 2-Faktor Login läuft auf der selben Maschine. Was genau bringt mir das für die Sicherheit? Ich muss es aber machen, weil es gefordert wird. ich wüsste aber nicht, wieso ich mir nur dafür jetzt wieder Hardware anschaffen muss.

Es hat einfach noch nie funktioniert, sich durch mehr Technik sicherer zu machen. Ich habe selbst genug gecrackt. In den 80er Spiele, schon damals wurde mir klar, das es ein endloses Wettrüsten ist, bei dem am Ende das Spiel auf der Strecke bleibt. An diesem Punkt angelangt, habe ich aufgehört und Spiele gekauft oder es gelassen. In den 90er hat man sich in IRC-Bots reingehackt, Windows95 Kisten übernommen, Hotmailkonten per Geheimfrage gecrackt und AOL-user verarscht(bin ich schon drin?...nein du bist wieder daussen...user left by timeout). Und täglich wurde neue Technik präsentiert wie man sich schützt. Genutzt hat es nie etwas. Inzwischen bin ich deutlich ruhiger geworden und bastel lieber an Maschinen rum. Aber etwas hat sich bis heute nicht geändert: Technik macht nicht sicherer, sie macht es nur unkomfortabel und teuer.

2-Faktor suggeriert auch nur wieder eine Scheinsicherheit. Am Ende ist es doch nicht sicher. Weil man dann einfach die Technik umstellt und statt das Passwort zu klauen, die Session übernimmt. Das Problem ist doch grundsätzlich, das der eigene PC unsicher ist, also durch fremde Software kontrolliert wird. Also würde eine Schadsoftware sich entsprechend drauf einstellen.

Hat es ein Farbdisplay? dann kanns wahrscheinlich J2ME ;)

So...tatsächlich wurde mein Account nach gut 9 Monaten zurückgesetzt :D

Ich kann es kaum fassen und freue mich endlich den alten Account wieder in den Händen zu halten ;)

theymos hatte mir übrigens mitgeteilt dass die registrierte Email nach dem Hack auf "@dorob.de" endete, also tatsächlich Richard Reiber uns alter Scammer.

das können ja alle sagen...

(nicht falsch verstehen :) aber man soll ja niemandem trauen)

fronti, gerne signiere ich Adressen die einigen bekannt sind. Desweiteren werde ich hier nochmal mit dem aktuellen Account reinschreiben...dieser wird dann demnächst stillgelegt.

Hier schonmal eine erste "Verifikation". Mein Account wurde zurückgesetzt.

wie gesagt, nicht falsch verstehen.. und cool dass es anscheinend ja doch geht, dass mit dem zurücksetzen.

Und da auch andere (meistens) gute dinge 9 Monate dauern ....

...ein Nikolaus Geschenk ?

das freut mich für Dich!
Meinen Glückwunsch.

PM folgt.

Gruß
pazor

nice das du deinen acci wieder hast...

@DAoneG

startest du auch einen rettungsversuch ?

ich denke nicht... und du??

ich werde mal eine stunde investieren und es versuchen.
ich vermisse meinen avatar
 :(

denn ma viel erfolg.... ;)

meine daten hat theymos ja... vllt tut sich ja nochma was, falls nich, wird meine aktivität hier wohl da bleiben wo sie jetzt is oder weniger...