I understand that in the first place you can think about the vulnerability of the server, but besides bitcoin, there was still a lot of things that could be stolen, but nothing was stolen, moreover, not even all of the bitcoin was stolen, so this is anything but not a server vulnerability. Perhaps the problem is indeed in weak entropy, but what exactly in my case, I don’t understand.

Hi everyone!

In this post I’d like to discuss a very strange situation that happened on July 12 this year with my (and it seems not only mine) bitcoin wallet.

Some input about my setup

Since 2018, I've been using a Bitcoin Core wallet (full node, but slightly cut down with a log block limit of about 30 GB + headers, etc.) on my own server (Ubuntu 16.04). The wallet was used not only to store BTC, but also periodically to deposit and withdraw BTC. Interacted with the node locally on my server.

The mnemonic for the current wallet was generated in 2020 using this library:bitcore-mnemonic + bitcore-lib . The mnemonic was stored on the server, and also in my encrypted file with keys (strongbox), I did not decrypt it and did not use it in open form from the moment it was generated and placed in the wallet, because there was no need for it. Several backups of wallet.dat also resided on the server and never left it.

Only I exclusively had access to the server via SSL, it was done from reliable places and with all precautions, and no extraneous activity on the server was recorded before, during or after the situation.

I have used the following wallet versions in chronological order:

#ENV BITCOIN_VERSION 0.16.0

#ENV BITCOIN_VERSION 0.16.3

#ENV BITCOIN_VERSION 0.18.0

#ENV BITCOIN_VERSION 0.20.0 — was used at the time of the leak

ENV BITCOIN_VERSION 0.25.0 — the current version, which I rolled out right after

Also, I somehow used the following libraries on this server:

• bip39
• bitcoin-core
• bitcoinjs-lib
• bitcoin-ops
• pushdata-bitcoin
• varuint-bitcoin

About the situation that occurred on July 12

Nothing out of the ordinary has happened to date. On the afternoon of July 12, precisely at 12:38 (UTC), without my knowledge from my wallet was carried out a transaction to withdraw 0.25211065 BTC to an unknown address — 3D2mKf28exn26v7BCVe9AXrrg4BY7qvYcv

The transaction itself is very interesting, so let's take a closer look, here is its hash:

a22b33a9a4ca0de2f56ef166298c186c5d71e56b944a255c2ecc52748f8f774b

This transaction performed a withdrawal from 1207 (!) ADDRESSES for a total amount of 14.846758BTC (of which 4 addresses are mine with 0.25211065 BTC of belongings), apparently to the attacker's wallet, which is indicated above.

I found out that my address had less BTC (surprisingly, after an unauthorized withdrawal 1.05328237 BTC remained in the wallet) only in the evening, and at first I thought that maybe those bitcoins were stuck somewhere on the address for change, which had not yet been pulled up by the wallet. I decided to download Bitcoin core to my work PC and import wallet.dat in there (it only left the server for the first time after I discovered my diminished balance) to check everything again. Furthermore, I also resynchronized cli-wallet on the server, but the balance did not visually change and the missing 0.25 BTC did not appear. After Bitcoin core synced on my PC, I saw a transaction with a withdrawal of 0.25 BTC dated July 12, see the screenshots below.





Withdrawal transaction data:


At that moment, I finally realized that BTC wasn’t stuck anywhere, but was withdrawn (stolen) by someone to an address unknown to me, and therefore I decided to withdraw the remaining 1.05 BTC from my wallet to another safe address, assuming that my wallet could be compromised. Please note: I withdrew 1.05 BTC to a secure address only on July 19 - a week after the event, but the BTC from the allegedly compromised wallet was waiting for me in there all this time - don't you find this strange?

I personally find it very strange that the attacker withdrew only a part of bitcoins from my wallet, not all of them. Upon closer examination, I found that all bitcoins were withdrawn from bech32(segwit) addresses, which were automatically created by the wallet as addresses for receiving change after the outgoing transactions I made (addresses created on June 30, 2023, May 29, 2022, June 15, 2023, June 30, 2023, respectively). At the same time, all the addresses that I created as part of using the wallet remained untouched.

In addition, the fact that this withdrawal affected more than 1200 addresses within one transaction (!) led me to the assumption that this was some kind of a planned event, which may be the result of a vulnerability in some library, or even a bakcdoor that was used by an attacker to carry out this theft.

I would very much like to discuss this situation with the members of the forum in order to understand the details and exactly where and how my wallet was compromised (along with a large number of others), and, importantly, how to avoid this in the future. Ready to answer your questions.






Thanks for your attention.

reserve 

reserve

Graphene implements an industrial-grade technology focused on businesses, organizations or individuals, with an amazing ecosystem and free-market economy. Based on open-source MIT-licensed Graphene technology, blockchain and its dApps have been maintained and developed by workers (through consensus) elected via core-token holders.

Important links

---

Website  |  Forum  |   RuDEX exchange  |  Telegram (ENG) | Telegram (RU)

---

The Graphene Blockchain, as it exists today, is based on the open source Bitshares codebase was originally launched on 13th October 2015 with its community being established already in 2013. It implements an industrial-grade decentralized platform built for high-performance smart contracts with focus on the financial technologies sector.
Furthermore, Graphene represents the return to the vision of the first decentralized autonomous cooperation that lets holders of its core native token GPH decide on its future direction and governance aspects. For sake of clarity and to avoid confusion with other smart contracting platforms, the Graphene Blockchain implements its con​tracts in form of ​operations. Its architecture as well as its governance system using the core native token GPH.

The Graphene Blockchain is industrial-grade technology focused on businesses, organizations or individuals, with an amazing ecosystem and free-market economy through DeFi tools

Those of you who are following the Bitshares platform certainly know about the recent event, that caused a lot of debate. During the BTS4.0 protocol upgrade, one of the hired core devs (abitmore) added a community unapproved backdoor to the code, which led to the change of the voting rights, and a major change of the consensus procedure. As a result multiple conflicts ensued with a significant portion of community leaving Bitshares.

After thoroughly analysing the consensus changes, that were made without voting or any discussion by community members, we verified that the resulting system is unscalable and doomed to stagnate. As a result our team decided to launch a fork of stable and time tested Bitshares3.0 consensus code using Graphene — the original name of the technology.

You can read the summary of the situation that happened in Bitshares that caused this fork
in this article (https://blckchnd.medium.com/bitshares-drama-f20df1c29b93)


Graphene Blockchain Specifications

• Consensus algorithm: Delegated Proof of Stake DPOS
• Block time: 3 sec, ~1.5 sec latency for 99.9% irreversibility certainty
• Block reward: 0.3 GPH (from treasury)
• Irreversible blocks: (2 * BLOCK_INTERVAL * WITNESSES / 3) ~ 22s
• Coins not in reserve fund: 3 068 217 GPH (2021 June 29)
• Coins in reserve fund: 96 931 783 GPH (2021 June 29)
• Maximum Coins: 100 000 000 GPH (constant)
• Maximum Transactions Per Second: ~100k
• Launch date: 2021

Features / Technology

• Token Factory
  Create your own cryptocurrency tokens by publically representing and listing a User-Issued Asset on the blockchain
  User-Issued Assets enable entrepreneurs to issue their own tokens. Event tickets, company shares, crowd-funding, loyalty/credits are just a few of the examples. Whitelist to create fully regulatory compliant KYC/AML tokens. Publically describe, list, and provide liquidity for your assets.
• DPOS consensus
  The DPOS algorithm is divided into two parts: electing a group of block producers and scheduling production. The election process makes sure that core-token holders are ultimately in control because stakeholders lose the most when the network does not operate smoothly. DPoS (Delegated Proof of Stake) specifically replaces environmentally reckless ‘mining’.
• Permissions
  The Graphene Blockchain designs permissions around accounts and then cryptography for ease of use. Every account can be controlled by single or weighted combinations of other account/s and/or keys. This creates a hierarchical structure which can be built to reflect real-life permissions – for example a company or organization approval and signing processes in digital form.
• Transactions
  Any user interacting with a Blockchain does so with transactions which are authentic and authorized.
  Transactions are constructed then transmitted to the network, containing instructions the user wants to perform. The most simple form is the transfer operation, which contains sender, receiver, amount, and optionally, encrypted memo.
• Extensibility
  Operations on the Graphene Blockchain allow for extending its range of functions towards built-in or external dApps. The Graphene Blockchain is extensively modularized and implements operations independently of one another. Graphene is considered so stable because core blockchain modifications require vetting by the core developer team, followed and approved by GPH holders before any network-wide protocol upgrade.
• Identity
  Human-readable account names that must be registered together with public-keys in the blockchain prior to usage. The Graphene Blockchain acts as a name-to-public-key resolver in a similar way to the traditional Domain Name Service (DNS). Users can easily remember and pass on their account information instead of error-prone addresses.
• DeFi tools
  Wallet inbuilt DEX and prediction market, market pegged assets (MPA), future nft market and automated liquidity pools
• Processing Speed
  Fastest block confirmations. Transactions get written to the blockchain within 3 seconds, and on average in under 1.5 seconds
• Lowest Fees
  Like other Blockchains, Graphene also has fees yet they are much lower than average, with 80% vesting cashback for lifetime members.
• Security
  Delegated Proof of Stake (DPOS) is virtually impossible to hack, as it would involve taking out many active and backup, global, trusted delegates.
• Dynamic Account Permissions
  Enabling management for the corporate environment, control wallets using a weighted combination of other account approvals.
• Recurring and Scheduled Payments
  Supports recurring payments, subscription payments, allow users to authorize third parties to make withdrawals within certain limits.
• Self-Sustaining
  Powered by an ecosystem of dApps which self-fund the core token GPH, ensuring the blockchain covers costs to keep going in perpetuity.

Coin distribution

Initial distribution for Graphene was made through win-win lottery. All the registered tickets of the lottery were formed into the genesis block of the blockchain. Max blockchain supply: 100 000 000 GPH. Total drop for lottery participants: 2 541 000 GPH.
GPH token has limited total supply that differs from circulating (liquid) supply. 97 459 000 tokens are reserved for subsequent project financing and witness rewards. These funds will become available to the worker system only after approval of the GPH token holders. This working budget is also known as “reserves”. Please note that blockchain transaction fees are not divided between GPH holders, but returned into the worker pool for further blockchain development. No rewards are given for holding GPH on your account.

The difference between max supply and circulating supply is called the ​Working Budget and has often in the past been referred to as ​the reserves. The Graphene Blockchain has a daily budget to use for development. This budget has a hard-coded upper limit of Total funds in the ​working budget / 2924. From this daily budget, block production as well as for project funding are made. Of course, the GPH holders have the choice and need to approve GPH tokens leaving the working budget.

Block production comes at a cost for running and maintaining equipment. The Graphene Blockchain acknowledges this fact by rewarding block producers in core GPH tokens per produced block. Depending on the valuation of GPH, the committee can modify the amount of GPH rewarded per block. At launch, each block is rewarded with 0.3 GPH. Those GPH are taken from the working budget.

A certain amount of the daily available tokens can be allocated to make development possible by means of workers. Anyone can set up a worker on the Graphene Blockchain and ask for a daily allowance in GPH. If the GPH holders approve a particular worker, the GPH are transferred from the daily budget. A Soft-limit defines the maximum amount of the daily budget that is given to all approved workers. Consequently, those workers that have received more votes from GPH holders will receive their funds first. This means that workers, even if approved, may not be funded if the aforementioned threshold is hit. Furthermore, workers constantly stand under the scrutiny of the GPH holders who can disapprove (e.g. fire) workers that do not deliver.


White paper

wp.gph.ai


For Developers

docs.gph.ai/en/latest
developers.gph.ai/en/latest


Exchanges

market.rudex.org


Wallets/Apps

market.rudex.org
github.com/graphene-blockchain/graphene-ui/releases
github.com/blckchnd/rudex-ui/releases
play.google.com/store/apps/details?id=org.rudex.app


Block Explorers

market.rudex.org/#/explorer/blocks


Contacts

Github
github.com/graphene-blockchain

Forum
forum.gph.ai

Telegram
t.me/graphene_dex
t.me/RU_DEX (RU)

Алоха, для тех, кто не следит за драмой Bitshares информирую, что RuDEX переехал  с блокчейна Bitshares на блокчейн Graphene, подброности миграции тут:

Анонс дат миграции платформы Rudex на блокчейн Graphene

P.S. все балансы токенов шлюзов переехали в новый блокчейн, торговый интерфейс доступен по тому же адресу. Кроме того шлюз USDT мигрировал с ERС20 на Tron, также запущен шлюз TRX.


Работа с блокчейном Bitshares доступна по отдельному домену: https://old.rudex.org/#/


С хроникой драмы в Bitshares, которая вынудила нас переехать можно ознакомиться в данной статье:
Хроники драмы в Bitshares

Пожалуйста будьте внимательны, на Bitshares/ в Telegram орудует группа русскоязычных мошенников.

Мошенники пользуются доверчивостью пользователей и не осведомленностью как работают подобные децентрализованные платформы. Они заставить пользователей обманным путем покупать мошеннические активы (UIA) (например WAZIRX за GDEX.BTC). При этом они дают пользователям ссылки на рынок через интерфейс RuDEX, представляя это как "легитимный" рынок, официально поддерживаемый биржей. Несмотря на то, что мы запретили торговлю к нашим активам "левых" пользовательских токенов, другой шлюз GDEX - этого не сделал, поэтому мошенники используют его шлюз, и наш русскоязычный интерфейс для обмана пользователей. Когда вы покупаете токен обращайте внимание в описание токена кто его эмитент и кто гарантирует вывод в родной блокчейн. Например у нас активы для этого созданы с префиксом RUDEX.ХХХ который невозможно подделать, также как у шлюза GDEX все активы с префиксом GDEX.XXX  по тем же причинам, чтобы отделять актив шлююза от остальных токенов. Будьте внимательны и осторожны!

• Не покупайте активы с неизвестным эмитентом
• Не ведитесь на "админов" в личке тг
• Не ведитесь на предложение купить выгодно задешево монету и продать на другой бирже, это мошенничество

В связи с вышеперечисленным нами был принят ряд мер, которые должны уберечь нерадивых пользователей от мошенничества

UPDATE: обновление клиента биржи от 29.04.2020

основные изменения:

+ добавлена предупреждалка на потенциально опасных парах*
+ уведомления о том,  что адрес/мемо скопировано - вкладка депозит
+ адреса unknown больше не должны кешироваться - чтобы потом не чистить весь кеш когда проблема с гейтом устраняется
+ GDEX шлюз убран из раздела ввод/вывод*

Вот можете почитать недавние проблемы DAI

Да, давненько не захаживал, основное общение идет в Telegram, сами понимаете.

Касательно BitUSD/BitCNY - как основных используемых "стейблов" на битшаре могу сказать что не стоит с ними связываться. Проблема в том, что киты (в основном китайские) не рассчитали свои силы, напечатав овер дохера смарткойнов (BitCNY в особенности) и когда крипторынок начал проседать (а Bitshares естественно не исключение) их начало жестко брить на маржинколлах (на ряде смарткойнов даже Черный лебедь произошел, и они долгое время были не полностью обеспеченными, и стоили как 2/3 от цены пегнутого актива). Но это еще пол беды, затем крупные киты договорились и дабы такой ситуации не повторилось, они просто отключили подачу независимых котировок, и просто стали подавать централизованный значительно завышенный курс BTS. Мы были одними из немногих витнессов, которые отказались манипулировать котировками, за что поплатились местом в топе витнессов. Поэтому мы никому не рекомендуем связываться с данными активами, и убрали их из торгуемых по умолчанию пар на RuDEX, заменив BitUSD на rudex.USDT (это хоть и фантик, но он хотя бы стабильный). По поводу DAI могу сказать что это такое же централизованное Г, только на эфире, недавняя ситуация это только подтвердила.

Тем временем у нас подьехали хорошие новости, по просьбам трудящихся на RuDEX запущен сервис публичного листинга активов путем публичного краудфандинга, подробности тут:


Листинг токенов на RuDEX открыт для всех желающих

Текущий список проектов для листинга выглядит так:



Кроме того мы обновили наш лендинг
https://rudex.org

добавили страницу публичного аудита средств шлюза!

https://audit.rudex.org


И конечно напоминаем, что RuDEX это отсутствие KYC, лимитов на вывод, низкие комиссии и блокчейн под капотом...

Если остались вопросы, велком в наш уютный ТГ: @BitSharesDEX_RU

Buy account on this site, created in 2013/2014 year. An important condition is an interesting and easy to remember account ID (for example 999, 10001, 1234321, 2220222 e.t.c). I will pay in cryptocurrency, price is negotiable depends on the ID. I will choose one account with the best ID in my opinion. Write in PM.

Насчет намертво положить сеть вы конечно преувеличили, "мертвый" блокчейн EOS за текущие сутки осуществил более 56 млн транзакций, что больше чем ВСЕ остальные блокчейны вместе взятые, просто для того чтобы пользоваться сетью нужно заморозить токены на своем аккаунте...более 10 как минимум

Возможно кто то задается вопросом нехватки CPU для транзакций в последние дни- всему виной Airdrop EIDOS, для получения монет в котором приходится совершать транзакции, расходуя много CPU. Подробности тут:

https://enumivo.org/get-free-eidos

многие даже настроили фермы с телефонами для майнинга данного токена через кошельки с бесплатным CPU
https://t.me/EOSproject/1365698

Крупные киты арендовали все предложение на REX, и уже потратили все доступное CPU


Как видно из графика количество экшенов от контракта эйрдропа выросло, и как следствие стоимость CPU возросла в сотни раз.

https://labs.eostitan.com/#/action-counts/?period=4%20weeks

---

P.S. если у кого есть ликвидный EOS (от 10К) - пишите в ЛС, помогу получить EIDOS токены, потратив CPU...


Также ребята из PokerChained готовы арендовать ваш EOS в CPU на месяц по ставке REX, пишите в ЛС.

Ничего еще не обновилось,  это лишь предложение одного из БП

Не стоит читать советских газет до обеда, такие заголовки только журнашлюхи могут стряпать, которые даже не пытаются разобраться в вопросе



Во первых не 8 а 15/21 БП нужны для изменения чего либо. А во вторых БП власть дана не "от бога" как в роиссе, а голосующим сообществом, если БП не хотят принимать то что хочет сообщество, их можно и поменять...

Кошелек - это интерфейс для взаимодействия с аккаунтами. Аккаунт у вас скорее всего создан (при старте сети), но лучше естественно проверить что все ок, например введя сюда https://eosauthority.com/ свой адрес Ethereum. Если все ок, то по идее ничего со средствами не случится (если у вас имеется приватный ключ от аккаунта). На всякий случай всегда можно проверить что имеете доступ к аккаунту в любом кошельке, например eos-voter. Также можно поменять ключи, в целях безопасности. Кстати в предыдущем сообщении я как раз написал, что покупаю такие аккаунты (которые переехали из Ethereum) по цене 10 EOS за штучку, так что можете все с него вывести (на другой аккаунт) - или биржу, и получить +10 EOS к своему состоянию))

Привет, котятки, приобрету ваши Genesis EOS - аккаунты  (то есть аккаунты из Genesis блока, которые были созданы одновременно с запуском сети EOS - соответственно до этого EOS должен был находиться на вашем Ethereum аккаунте). Для проверки своего аккаунта на предмет соответствия требованиям, можно чекнуть блокэксплорер, например тут: https://bloks.io/account/ha3tonzxgqge

По ссылке как раз пример такого аккаунта, все аккаунты данной категории созданы 09.06.2018 и состоят из 12 рандомных букв и цифр.

За каждый аккаунт плачу 10 EOS (актуально на момент публикации, по прошествии времени цена может меняться в любую сторону)

Требования:

• аккаунт должен принадлежать вам
• в качестве подтверждения владения аккаунтом мной может быть запрошено осуществление транзакции с заданным мемо
• на аккаунте не должно быть токенов EOS (если они там есть, рекомендую предварительно вывести их на другой аккаунт)
• если на аккаунте есть другие ценные токены (либо токены, которые дороги вам как память=)) рекомендую также вывести их
• право пользования данным аккаунтом переходит ко мне окончательно и в полном объеме (приватные ключи будут изменены)
• порядок обмена описан ниже
• я оставляю за собой право отказать в приобретении вашего аккаунта до момента начала сделки

Порядок процедуры обмена:

1. Проверка мной аккаунта на предмет соответствия требованиям
2. Согласование суммы сделки (индивидуально в каждом конкретном случае)
2. Передача мне приватного ключа/ключей (Owner/Active) и последующая смена ключей, либо смена ключей вами на предоставленные мной публичные ключи
3. Перевод мной оговоренной суммы на указанные вами EOS аккаунт (возможен также биржевой аккаунт)
4. Поручкались и разбежались =)


Количество необходимых мне аккаунтов ограничено, об окончании акции сообщу дополнительно...

Для связи со мной использовать ЛС на данном форуме или Telegram: @on0tole

Не только на Куну, но и на RuDEX, шлюз как работал так и работает уже который год без сбоев...

Все так, REX - не для заработка, а для пользователей/разработчиков, и весьма удобен кстати и выгоден для аренды ресурсов, ну и ставку определяет уже рыночек (спрос/предложение), если будет большой спрос на ресурсы, то и ставка подрастет, а для этого нужен масс адопшен мать его))

Below is a link toto the image, in your post it is hidden because you're newbie