[Diskussion] - [KMD] Komodo [ARRR] Pirate - Zcash Zero Knowledge Privacy

[ptrk]

danke Acura3600 für die nützlichen infos!!

meine KMDs wurden auf die RL4sy2kEqU4e5ZtEUK5W9AjQWpty7uq7Aj verschickt und nicht auf die, die in deiner "anleitung" aufgelistet ist  

was nun?!

und was ist mit den erc20 tokens, die auch auf der KMD adresse in der agama wallet lagen?! 

Bist du dir sicher, dass sie nur an RL4sy2kEqU4e5ZtEUK5W9AjQWpty7uq7Aj gingen? Diese Adresse habe ich auch aber als Spend-Adresse. In der Transaktion müsste noch eine zweite Zieladresse (Unspend-Adresse) sein, die dann wiederum RSgD2cmm3niFRu2kwwtrEHoHMywJdkbkeF ist.

Gebe mal deine eigene Adresse im https://kmdexplorer.io Explorer ein. Dann müsstest du folgendes als Zieladressen sehen:

RL4sy2kEqU4e5ZtEUK5W9AjQWpty7uq7Aj          XXXX KMD (S)
RSgD2cmm3niFRu2kwwtrEHoHMywJdkbkeF        XXXX KMD (U)

Falls das so ist, sollte alles "in Ordnung" sein, wenn man mal davon absieht wie es möglich ist, dass das Komodo-Team einfach so die Komodo der meisten Komodoverwender einfach so transferieren kann 

[1714877657]

1714877657

[1714877657]

1714877657

[quasimodo]

danke Acura3600 für die nützlichen infos!!

meine KMDs wurden auf die RL4sy2kEqU4e5ZtEUK5W9AjQWpty7uq7Aj verschickt und nicht auf die, die in deiner "anleitung" aufgelistet ist  

was nun?!

und was ist mit den erc20 tokens, die auch auf der KMD adresse in der agama wallet lagen?! 

Bist du dir sicher, dass sie nur an RL4sy2kEqU4e5ZtEUK5W9AjQWpty7uq7Aj gingen? Diese Adresse habe ich auch aber als Spend-Adresse. In der Transaktion müsste noch eine zweite Zieladresse (Unspend-Adresse) sein, die dann wiederum RSgD2cmm3niFRu2kwwtrEHoHMywJdkbkeF ist.

Gebe mal deine eigene Adresse im https://kmdexplorer.io Explorer ein. Dann müsstest du folgendes als Zieladressen sehen:

RL4sy2kEqU4e5ZtEUK5W9AjQWpty7uq7Aj          XXXX KMD (S)
RSgD2cmm3niFRu2kwwtrEHoHMywJdkbkeF        XXXX KMD (U)

Falls das so ist, sollte alles "in Ordnung" sein, wenn man mal davon absieht wie es möglich ist, dass das Komodo-Team einfach so die Komodo der meisten Komodoverwender einfach so transferieren kann 

Das Komodo-Team kann normalerweise die Komodos der Verwender natürlich nicht transferieren. Das war nur durch die aufgedeckte Sicherheitslücke möglich. Sie haben diese Lücke benutzt um die Guthaben der User vor den Angreifern in Sicherheit zu bringen. NAtürlich sollte es diese Lücke nicht geben, allerdings ist es mir lieber wenn meine KMDs vom Team als vom Hacker transferiert werden. 

[ptrk]

Noch eine Frage an die besser informierten, da ich mich leider mit Agama-0.3.6b nicht einloggen kann (es erscheint nach der Passworteingabe nur ein weißer Screen), sind andere Assets auf der Adresse wie zum Beispiel HODL, CHIPS etc. ebenfalls gefährdet und wurden diese auch an eine Save-Adresse gesendet?


Es gibt ja ein paar Neuigkeiten wie der Angriff stattfand und als Entwickler muss ich mich schon fragen wie das sein kann.

Grob erklärt anhand der offiziellen Stellungnahme: Agama nutzt NodeJs und greift dabei auf externe Bibliotheken zu. Eine solche Bibliothek namens "electron-native-notify" schein gezielt manipuliert worden zu sein. Schon am 23. März 2019 scheint der manipulierte Code in die Bibliothek hinzugefügt und bei Github committed worden zu sein. Dann hat der Angreifer gewartet bis die Agama-Entwickler eine neue Wallet-Version erstellen bzw. kompilieren und dabei die neue manipulierte Bibliothek miteinbauen.

Was mich als erfahrener Entwickler wundert ist, warum man in solchen kritischen Anwendungen überhaupt NodeJs bzw. seine vielen kleinen und unübersichtlichen externen Bibliotheken verwendet die teils über mehrere Stufen Abhänigkeiten haben und externen Bibliotheken wiederrum andere externe Bibliotheken nachladen, sodass man überhaupt keine Kontrolle über all den externen Code mehr hat der in seine Applikation eingebunden wird. In solchen sicherheitskritischen Anwendungen wie Wallets ein No-Go. Das Problem liegt aber nicht nur bei Komodo, viel zu viele nutzen in der Kryptowelt diese Technologie was meines Erachtens nach ein Fehler ist.

Übrigens ist das nicht der erste Angriff der nach diesem Schema durchgeführt wird. Im November 2018 ist das gleiche schon mit einem Bitcoin-Wallet passiert => https://www.trendmicro.com/vinfo/dk/security/news/cybercrime-and-digital-threats/hacker-infects-node-js-package-to-steal-from-bitcoin-wallets
Schon damals hätten alle die NodeJs mit externen Bibliotheken einsetzen, hellhörig werden müssen.

[nullCoiner]

Noch eine Frage an die besser informierten, da ich mich leider mit Agama-0.3.6b nicht einloggen kann (es erscheint nach der Passworteingabe nur ein weißer Screen), sind andere Assets auf der Adresse wie zum Beispiel HODL, CHIPS etc. ebenfalls gefährdet und wurden diese auch an eine Save-Adresse gesendet?

Hier kannst Du selbst gucken
https://www.dexstats.info/assetviewer.php

Bei mir sind Chips und Co. z.B. Hush usw. noch auf der Adresse drauf, die muss ich irgendwann och selbst transferieren...

[bct_ail]

Noch eine Frage an die besser informierten, da ich mich leider mit Agama-0.3.6b nicht einloggen kann (es erscheint nach der Passworteingabe nur ein weißer Screen), sind andere Assets auf der Adresse wie zum Beispiel HODL, CHIPS etc. ebenfalls gefährdet und wurden diese auch an eine Save-Adresse gesendet?

In Agama sollte man sich lieber nicht mehr einloggen, sondern das Verus Wallet nehmen und seinen Seed dort importieren. Dann die KMD und Assets auf eine neue Adresse, genieriert im Verus Wallet, schicken.

Zu deiner Frage mit der Programmierung: Das weiß ich nicht und das solltest du lieber die Entwickler fragen.

[mole0815]

da ist man 3 tage lang nicht aktiv und zack ist man schon nicht mehr up2date
ich habe einige kmd und arrr in/auf/mit agama

vorgehen ist jetzt also Verus Wallet installieren... seed importieren und dann dort neue adressen anlegen und die funds transferieren?
und zwischendurch prüfen + hoffen dass hier nichts verloren ging... schon echt wild aber gut dass die guten schnell ragiert haben bevor die bösen die funds abziehen.

[Acura36000]

Noch eine Frage an die besser informierten, da ich mich leider mit Agama-0.3.6b nicht einloggen kann (es erscheint nach der Passworteingabe nur ein weißer Screen), sind andere Assets auf der Adresse wie zum Beispiel HODL, CHIPS etc. ebenfalls gefährdet und wurden diese auch an eine Save-Adresse gesendet?


Es gibt ja ein paar Neuigkeiten wie der Angriff stattfand und als Entwickler muss ich mich schon fragen wie das sein kann.

Grob erklärt anhand der offiziellen Stellungnahme: Agama nutzt NodeJs und greift dabei auf externe Bibliotheken zu. Eine solche Bibliothek namens "electron-native-notify" schein gezielt manipuliert worden zu sein. Schon am 23. März 2019 scheint der manipulierte Code in die Bibliothek hinzugefügt und bei Github committed worden zu sein. Dann hat der Angreifer gewartet bis die Agama-Entwickler eine neue Wallet-Version erstellen bzw. kompilieren und dabei die neue manipulierte Bibliothek miteinbauen.

Was mich als erfahrener Entwickler wundert ist, warum man in solchen kritischen Anwendungen überhaupt NodeJs bzw. seine vielen kleinen und unübersichtlichen externen Bibliotheken verwendet die teils über mehrere Stufen Abhänigkeiten haben und externen Bibliotheken wiederrum andere externe Bibliotheken nachladen, sodass man überhaupt keine Kontrolle über all den externen Code mehr hat der in seine Applikation eingebunden wird. In solchen sicherheitskritischen Anwendungen wie Wallets ein No-Go. Das Problem liegt aber nicht nur bei Komodo, viel zu viele nutzen in der Kryptowelt diese Technologie was meines Erachtens nach ein Fehler ist.

Übrigens ist das nicht der erste Angriff der nach diesem Schema durchgeführt wird. Im November 2018 ist das gleiche schon mit einem Bitcoin-Wallet passiert => https://www.trendmicro.com/vinfo/dk/security/news/cybercrime-and-digital-threats/hacker-infects-node-js-package-to-steal-from-bitcoin-wallets
Schon damals hätten alle die NodeJs mit externen Bibliotheken einsetzen, hellhörig werden müssen.

Damals ist wohl soweit ich erfahren konnte das gleiche mit Ripple passiert


https://twitter.com/KomodoPlatform/status/1136585288841478144

Aktueller Stand der Dinge:

JL777: So far it looks like we will have enough community donations to restore all the stolen funds, including digitalprice. We need to complete the claims process to know for sure, but things are looking pretty optimistic so far

"READ CAREFULLY"

Simple instructions to secure your funds:

0) Search your address in https://kmdexplorer.io/ , if the funds are there, follow the next steps exactly. If not, follow the next steps to create a new wallet in Verus Agama and use it to submit a claim as described in the following post, if the funds have been swept to our team's address: https://support.komodoplatform.com/en/support/solutions/articles/29000029932-agama-security-announcement

Please join our Discord server for real-time assistance: https://komodoplatform.com/discord

1) Download https://github.com/VerusCoin/Agama/releases/tag/v0.6.0.13-PBaaS-Cross-chain-Technology-Preview
2) It is safe
3) First, create a new wallet (new seed)
4) Note down the address
5) Then import the old seed (compromised), in the Verus Agama wallet and activate KMD lite mode. Then send all the funds to the new KMD address created previously
6) If you face "electrum error", "connection error" or "get_balance error", follow this guide: https://support.komodoplatform.com/solution/articles/29000029569-how-to-stop-agama-from-using-a-proxy-server-to-access-electrum-servers/
7) Uninstall the old version of agama and don't run it again. But please keep a backup of your old(compromised) seed, wif, privkey or anyother way you used to Access your old wallet. See the following article to backup your old access method: https://support.komodoplatform.com/support/solutions/articles/29000024424-how-to-secure-your-wallet-seed-private-keys-wallet-dat-file


James wird 500k KMD spenden - in den nächsten Tagen kommen noch mehr Updates dazu raus.

8 Millionen KMD wurden wohl gesichert, 1 Million bisher geklaut. Binance Konto des hackers eingefroren, schauen wir mal wie es weiter geht.

[ptrk]

In Agama sollte man sich lieber nicht mehr einloggen, sondern das Verus Wallet nehmen und seinen Seed dort importieren. Dann die KMD und Assets auf eine neue Adresse, genieriert im Verus Wallet, schicken.

Für diejenigen deren Funds auf die sichere Adresse gesendet wurden ist das irrelevant, da der Angreifer deren Seeds höchstwahrscheinlich schon hat.
Wie dieses Video zeigt https://youtu.be/6Guadww8CnU , wurde bzw. wird durch die manipulierte Bibliothek der Seed bei der Eingabe im Agamawallet direkt an den Angreifer gesendet.

Nur diejenigen die ihre Komodo noch haben, sollten sich auf keinen Fall damit einloggen, das ist richtig.

Zu deiner Frage mit der Programmierung: Das weiß ich nicht und das solltest du lieber die Entwickler fragen.

Das war eine rethorische Frage. Entschuldige falls das andes rüberkam.

[mole0815]

also lt. https://kmdexplorer.io/ sind meine kmd noch unverändert bei mir. agama starte ich nichtmehr... lege mir versus zu und befolge die anleitung oben.
damit komme ich also an eine neue kmd adresse in der neuen software und bin auf der sicheren seite.
für arrr ist das vorgehen genauso? muss nachher in ruhe telegram nachlesen... bin grad leicht überfordert und leicht nervös

[Acura36000]

also lt. https://kmdexplorer.io/ sind meine kmd noch unverändert bei mir. agama starte ich nichtmehr... lege mir versus zu und befolge die anleitung oben.
damit komme ich also an eine neue kmd adresse in der neuen software und bin auf der sicheren seite.
für arrr ist das vorgehen genauso? muss nachher in ruhe telegram nachlesen... bin grad leicht überfordert und leicht nervös

Für ARRR ist ratsam sich eine neue Adresse anzulegen incl neuen Key, dazu kannst Du die PirateOcean QT Wallet nutzen, oder die Verus Wallet, die hat auch Pirate drinn. Ansonsten kann ich Dir auch empfehlen zum erstellen einer neuen KMD Adresse die andere APP zu benutzen, Link hatte ich erst reingepostet.

[cygan]

hat jemand eine einfache einfache anleitung, wie ich jetzt meine BAT aus der alten agama in die neue Verus version senden kann?
ich komm zur zeit nicht klar 

ist schon bekannt, wann die KMD an die neuen adressen der user verschickt werden?

[Acura36000]

Hatte vorhin im Discord gelesen das eine neue Version diese oder nächste Woche rauskommt -
Aktuell würde ich zum Funds versenden nur die eine Version nutzen die ich erst gepostet hatte

[cygan]

Hatte vorhin im Discord gelesen das eine neue Version diese oder nächste Woche rauskommt -
Aktuell würde ich zum Funds versenden nur die eine Version nutzen die ich erst gepostet hatte

das ist mir schon klar. nur wie versende ich die erc20 tokens von der alten agama, wenn ich diese nicht mehr nutzen/öffnen soll? 

[Acura36000]

Hatte vorhin im Discord gelesen das eine neue Version diese oder nächste Woche rauskommt -
Aktuell würde ich zum Funds versenden nur die eine Version nutzen die ich erst gepostet hatte

das ist mir schon klar. nur wie versende ich die erc20 tokens von der alten agama, wenn ich diese nicht mehr nutzen/öffnen soll? 

Hast du mal die Wallet gestartet die ich gepostet hatte?
Eventuell sind dort die Coins gelistet - bin leider grad mobil unterwegs.

News:

https://www.zdnet.com/article/cryptocurrency-startup-hacks-itself-before-hacker-gets-a-chance-to-steal-users-funds/

https://cointelegraph.com/news/komodo-hacks-itself-and-saves-crypto-worth-13m-after-learning-of-security-vulnerability

https://twitter.com/0xca333/status/1136634632693268480?s=21

[bct_ail]

Hatte vorhin im Discord gelesen das eine neue Version diese oder nächste Woche rauskommt -
Aktuell würde ich zum Funds versenden nur die eine Version nutzen die ich erst gepostet hatte

das ist mir schon klar. nur wie versende ich die erc20 tokens von der alten agama, wenn ich diese nicht mehr nutzen/öffnen soll? 

Hatte ich oben schon geschrieben:

Wer ERC20 Token oder ETH hat, kann mit dem KMD seed seine ETH Private Key konvertieren. Das geht mit einem kleinen Programm und dann mit Terminal oder cmd:
https://support.komodoplatform.com/support/solutions/articles/29000029942-get-an-ethereum-private-key-from-agama-

Den Private Key kann man dann in ein ETH Wallet importieren und seine ERC20-Token und ETH auf ein neues ETH-Wallet schicken.

[cygan]

Hatte vorhin im Discord gelesen das eine neue Version diese oder nächste Woche rauskommt -
Aktuell würde ich zum Funds versenden nur die eine Version nutzen die ich erst gepostet hatte

das ist mir schon klar. nur wie versende ich die erc20 tokens von der alten agama, wenn ich diese nicht mehr nutzen/öffnen soll?  

Hatte ich oben schon geschrieben:

Wer ERC20 Token oder ETH hat, kann mit dem KMD seed seine ETH Private Key konvertieren. Das geht mit einem kleinen Programm und dann mit Terminal oder cmd:
https://support.komodoplatform.com/support/solutions/articles/29000029942-get-an-ethereum-private-key-from-agama-

Den Private Key kann man dann in ein ETH Wallet importieren und seine ERC20-Token und ETH auf ein neues ETH-Wallet schicken.

hab jetzt den private key rausbekommen - sieht aus wie eine eth adresse (0x.....)
wie bekomme ich nun die private key in meine MEW wallet importiert?

[cygan]

hab jetzt noch ein anderes problem.... 

bin nach dieser anleitung https://medium.com/piratechain/how-to-move-your-pirate-to-a-safe-new-address-with-verus-agama-c7c7bff71e08 gegangen um meine ARRRs von der alten zs auf eine neue zs zu schicken.

nun sehe ich aber meinen bestand auf der neuen ARRR adresse nicht mehr - import private key wurde vollzogen. chain ist synced
 

[nullCoiner]

hab jetzt noch ein anderes problem....  

bin nach dieser anleitung https://medium.com/piratechain/how-to-move-your-pirate-to-a-safe-new-address-with-verus-agama-c7c7bff71e08 gegangen um meine ARRRs von der alten zs auf eine neue zs zu schicken.

nun sehe ich aber meinen bestand auf der neuen ARRR adresse nicht mehr - import private key wurde vollzogen. chain ist synced
 

Versuche als Erstes einfach mal den "Pirate Deamon" über die drei Punkte zu stoppen und den Coin neu zu aktivieren.

ich habe gerade auch meine ARRR an eine neue Adresse geschickt.
Ich habe dazu mein "C:\Users\NAME\AppData\Roaming\Komodo\PIRATE\wallet.dat" umbenannt in wallet_bak.dat
Dann habe ich in der Agama den Pirate Coin Aktiviert, dann wird wieder eine neue wallet.dat erstellt.
Dann habe ich dort eine neu zs Adresse mit receive generiert. WICHTIG den priv key GUT sichern! über die drei punkte


Dann habe ich den Pirate Coin über die drei Punkte angehalten Stop.

Dann muss man ne Weile warten...
Dann die neue wallet.dat in wallet_neu.dat und
die alte wallet_bak.dat in wallet.dat zurück benennen.
Dann den Pirate Coin wieder in der Agama hinzufügen, kurz warten und das aktualisieren "Rädchen" klicken.
Dann sollten deine Balance wieder angezeigt werden, dann kannst Du jetzt deine ARRR an die neue zs Adresse schicken.

Wenn Du dass getan hast, kurz warten, wieder Stop des Pirate Deamon. wieder kurz warten.
wallet.dat in wallet_bak umbenennen
wallet_neu.dat in wallet.dat umbenennen
Dann wieder in Agama den Pirate Coin hinzufügen, und kurz warten, bis deine Balance angezeigt wird.

Nicht vergessen die wallet.dat in die Sicherung mit aufzunehmen...
Beim rum- und numbenennen gut aufpassen

[cygan]

hab jetzt noch ein anderes problem....  

bin nach dieser anleitung https://medium.com/piratechain/how-to-move-your-pirate-to-a-safe-new-address-with-verus-agama-c7c7bff71e08 gegangen um meine ARRRs von der alten zs auf eine neue zs zu schicken.

nun sehe ich aber meinen bestand auf der neuen ARRR adresse nicht mehr - import private key wurde vollzogen. chain ist synced
 

Versuche als Erstes einfach mal den "Pirate Deamon" über die drei Punkte zu stoppen und den Coin neu zu aktivieren.

ich habe gerade auch meine ARRR an eine neue Adresse geschickt.
Ich habe dazu mein "C:\Users\NAME\AppData\Roaming\Komodo\PIRATE\wallet.dat" umbenannt in wallet_bak.dat
Dann habe ich in der Agama den Pirate Coin Aktiviert, dann wird wieder eine neue wallet.dat erstellt.
Dann habe ich dort eine neu zs Adresse mit receive generiert. WICHTIG den priv key GUT sichern! über die drei punkte


Dann habe ich den Pirate Coin über die drei Punkte angehalten Stop.

Dann muss man ne Weile warten...
Dann die neue wallet.dat in wallet_neu.dat und
die alte wallet_bak.dat in wallet.dat zurück benennen.
Dann den Pirate Coin wieder in der Agama hinzufügen, kurz warten und das aktualisieren "Rädchen" klicken.
Dann sollten deine Balance wieder angezeigt werden, dann kannst Du jetzt deine ARRR an die neue zs Adresse schicken.

Wenn Du dass getan hast, kurz warten, wieder Stop des Pirate Deamon. wieder kurz warten.
wallet.dat in wallet_bak umbenennen
wallet_neu.dat in wallet.dat umbenennen
Dann wieder in Agama den Pirate Coin hinzufügen, und kurz warten, bis deine Balance angezeigt wird.

Nicht vergessen die wallet.dat in die Sicherung mit aufzunehmen...
Beim rum- und numbenennen gut aufpassen

so habe ich das auch gemacht - balance ist 0 auf der neuenzc adresse

mal ne gute nachricht - meine BAT tokens liegen wieder auf meiner MEW adresse. das hat wenigstens geklappt

[nullCoiner]

so habe ich das auch gemacht - balance ist 0 auf der neuenzc adresse

mal ne gute nachricht - meine BAT tokens liegen wieder auf meiner MEW adresse. das hat wenigstens geklappt

Wahrscheinlich kann man sich dass mit der wallet.dat auch sparen, aber müsste es nicht eine zs Adresse sein, Du hast schon die "neue" Agama genommen? Hast Du mal in der alten deine Transaktionen geprüft, die sind da und wohin (Adressen) gehen sie?