Hackers extorsionando Webs que aceptan Bitcoins

[Antuam]

Hola.

Estoy contigo, ni puro caso, manda el Mail a tus clientes y que le den. A lo mejor alguna se te mosquea y te deja de comprar, pero si eres un buen proveedor, y les ofreces un descuento lo en la próxima compro o alguna cosa, poco les importarán.

Por cierto, rebuscando un poquito, he encontrado esto de este sujeto. No es mucho pero bueno. No creo sea el mismo tipo, pero puede servir para saber más.

http://www.meetup.com/HacksHackersChile/members/84710072/

Slaudos.
Antuam

[LuisCar]

Ánimo Krako, no puedo dejar de darte mi apoyo en este mal trago. ¡Ojalá pudiera ayudar en algo!

[AbraxasCcs]

Hey Krako cuando quieras nos dices y le llenamos de mierda el correo a ese individuo. Un ataque de Spam masivo para que sea serio.

[strunm@mac.hush.com] -----> ¡esta dirección me ve y se ríe!

[mrvision]

No entiendo. ¿Las contraseñas no estaban hasheadas?

[Krako]

Que tal... buenos días a todos (incluido Tú strunm@mac.hush.com)

Ya me imaginaba que nuestro amigo strunm@mac.hush.com iba acabar leyendo este hilo... y así ha sido. Bienvenido, siéntete libre de expresar tu opinión estás en tu casa XD  

Te voy a contestar, amigo. Solo con una pequeña reflexión:

En mi opinión haces un flaco favor a a Bitcoin y todos los que creemos en el potencial que tiene esta moneda para cambiar cosas a nivel global atacando e intentando extorsionar a pequeños  sitios como el mío pensando que voy a ceder y te voy a entregar 25 BTC por intentar joderme. Eres un ingenuo siento decírtelo y creo que sería mejor para todos (incluido tu) que dedicaras tus esfuerzos a no tirar piedras a tu propio tejado.
Yo también lo soy, no solo Tú... la diferencia entre tu y yo es que yo actúo de buena fe y tu no... Pero tienes razón en una cosa, los que me hicieron el sitio hace 4 años son unos ladrones a diferencia de ti que, para mi, solo eres un proyecto de tal cosa, aunque estoy seguro de que si pones empeño conseguirás tu objetivo y acabarás más jodido que las personas que intentas fastidiar... Yo así lo espero.

Por otro lado gracias a ti y a la ayuda desinteresada de algunas otras personas he abierto los ojos sobre el estado de la seguridad de mi tienda. Es la parte positiva que saco de estos últimos días.

No tengo nada más que decirte.

cuídate  

From: strunm@mac.hush.com

Asunto: hello again

Dude, there is not need to take down your website. I dont have your db, just the part that I sent to you.
You have SQLi (I dont remember where and I cant check now, your site is down).
Your login system suck (you only need to put a cookie named xxxx with value x to enter as an xxxx).
You have XSS everywhere, and Im prerry sure csrf too.
Also you shouldnt store passwords without encrypt, use at least sha1 next time.

The guy who took '6000 pavos' from you is the real thief.
Oh yeah, I saw your bitcontalk post.

"Hombre, si la poli está en el ajo, mantener el contacto con el individuo quizá merezca la pena. Si es que es tan tonto como para mantener un contacto prolongado por email. Que sí, que estará escondido y eso, pero le basta un despiste para publicar su IP, y game over."

Good luck with that...


XOXO

[LuisCar]

Y, por favor, no lo llaméis "hacker", no se lo merece:

http://es.wikipedia.org/wiki/Hacker

Una comunidad de entusiastas programadores y diseñadores de sistemas originada en los sesenta alrededor del Instituto Tecnológico de Massachusetts (MIT), el Tech Model Railroad Club (TMRC) y el Laboratorio de Inteligencia Artificial del MIT.2 Esta comunidad se caracteriza por el lanzamiento del movimiento de software libre. La World Wide Web e Internet en sí misma son creaciones de hackers.3 El RFC 13924 amplia este significado como "persona que se disfruta de un conocimiento profundo del funcionamiento interno de un sistema, en particular de computadoras y redes informáticas"

Es un desgraciado cracker que no creo que llegue a hacer nada positivo en su vida:

Mientras que los hackers aficionados reconocen los tres tipos de hackers y los hackers de la seguridad informática aceptan todos los usos del término, los hackers del software libre consideran la referencia a intrusión informática como un uso incorrecto de la palabra, y se refieren a los que rompen los sistemas de seguridad como "crackers" (analogía de "safecracker", que en español se traduce como "un ladrón de cajas fuertes").

Los medios masivos de comunicación llevan muchos años manchando la auténtica cultura hacker.

[vgo]

Enlaza este hilo aquí si aun no lo has echo, https://bitcointalk.org/index.php?board=83.0 , quizá amplies la ayuda o te encuentres con algún otro damnificado que te pueda aconsejar.

[pitosporum]

Y, por favor, no lo llaméis "hacker", no se lo merece:

http://es.wikipedia.org/wiki/Hacker

Una comunidad de entusiastas programadores y diseñadores de sistemas originada en los sesenta alrededor del Instituto Tecnológico de Massachusetts (MIT), el Tech Model Railroad Club (TMRC) y el Laboratorio de Inteligencia Artificial del MIT.2 Esta comunidad se caracteriza por el lanzamiento del movimiento de software libre. La World Wide Web e Internet en sí misma son creaciones de hackers.3 El RFC 13924 amplia este significado como "persona que se disfruta de un conocimiento profundo del funcionamiento interno de un sistema, en particular de computadoras y redes informáticas"

Es un desgraciado cracker que no creo que llegue a hacer nada positivo en su vida:

Mientras que los hackers aficionados reconocen los tres tipos de hackers y los hackers de la seguridad informática aceptan todos los usos del término, los hackers del software libre consideran la referencia a intrusión informática como un uso incorrecto de la palabra, y se refieren a los que rompen los sistemas de seguridad como "crackers" (analogía de "safecracker", que en español se traduce como "un ladrón de cajas fuertes").

Los medios masivos de comunicación llevan muchos años manchando la auténtica cultura hacker.

+1

Chapooo

[pitosporum]

Animo Krako!!
Seguro q de esta saldras mas fuerte.

[mrvision]

Insisto... las contraseñas no estaban hasheadas?

[WSDN]

Insisto... las contraseñas no estaban hasheadas?

Hola mrvision si lees los trheads anteriores veras que no, las contraseñas no estaban encriptadas.

[Anillos2]

Mi opinión: que los grandes mineros se alíen y no acepten transacciones salientes de 1K2o3JnDRbPf5tWix7ejCAqqkhCBY8P43Q.

Eso si, antes habría que asegurarse bien de que todo sea correcto, no sea que se esté bloqueando una cuenta inocente aleatoria.

Esto no sirve de nada por:
1. Krako no va a mandar el dinero, ya que aunque se pudiera bloquear la dirección, él seguiría perdiendo los bitcoins.
2. No se pueden bloquear direcciones/bitcoins. ¿Quién decidiría que bitcoins son robados y cuales no? Sería el principio del fin de bitcoin.

¿Y existe al menos algún mecanismo para saber si una cantidad de dinero recibida ha pasado por ahí alguna vez?

Por ejemplo, si alguien me compra algo, no quiero bitcoins que hayan podido pasar por esa dirección.

[dserrano5]

¿Y existe al menos algún mecanismo para saber si una cantidad de dinero recibida ha pasado por ahí alguna vez?

Por ejemplo, si alguien me compra algo, no quiero bitcoins que hayan podido pasar por esa dirección.

Todo lo que tienes es una probabilidad. Por ejemplo, si vemos en la cadena de bloques una transacción cuyas entradas son esa dirección y otra más, entonces podemos definir (sacarnos de la manga) que las salidas vienen en un 50% de la dirección del atacante, o sea, están un 50% "contaminadas" ("tainted" en inglés). Ahora, si una de estas nuevas salidas se combina con alguna otra para un pago posterior, este porcentaje de contaminación se va reduciendo, con lo que llega un punto en que no podemos considerar que las coins que nos llegan a nuestro wallet están suficientemente contaminadas, o sea, suficientemente relacionadas con el ataque inicial.

El objetivo último de mezclar las coins es precisamente este, desvincularlas de una dirección original. Esto puede ser para blanquear dinero o simplemente, por poner un ejemplo, porque si yo saco dinero de mtgox a una dirección, puede que no me interese que mtgox sepa que tengo esa cantidad de coins, por lo que procedo a vaciar la dirección y mezclar las coins con otras para que mtgox les pierda la pista.

[Polvos]

Cuidado con todo esto.

1.-Por mucho que podamos conocer a krako, podría ocurrir que estuviese obrando de mala fe o simulando que le han robado y sería imposible demostrar lo contrario.

2.-Un comprador insatisfecho puede lograr el bloqueo de los bitcoins que acaba de enviar a un vendedor exactamente de la misma forma en que krako está denunciando estos hechos. Incluso podría tratarse de un extorsionador tratando de sacar provecho de una transacción efectuada por terceros.

3.- Existe un elevado riesgo de que bloquees los bitcoins de un inocente que no se hubiese apercibido de que esos bitcoins estaban marcados. Te recuerdo que no puedes rechazar los bitcoins que te llegan en una transacción ni saber cuál es su historial hasta que ya se encuentran en tu billetera y es demasiado tarde.

Acabar con la fungibilidad de Bitcoin es matarlo directamente. ¿Quién decidiría sobre qué bitcoins son buenos y cuáles robados? ¿Quién se atrevería a enviar sus bitcoins a un exchanger o comercio sin estar completamente seguro de que no aparecen en las múltiples listas de bitcoins perseguibles que pudiesen surgir.

No digo que krako mienta. Sólo digo que no pueden existir bitcoins de primera y bitcoins de segunda. O, para que se me entienda mejor, no pueden existir diferenciaciones entre bitcoins buenos y malos.

[Krako]

Cuidado con todo esto.

1.-Por mucho que podamos conocer a krako, podría ocurrir que estuviese obrando de mala fe o simulando que le han robado y sería imposible demostrar lo contrario.

2.-Un comprador insatisfecho puede lograr el bloqueo de los bitcoins que acaba de enviar a un vendedor exactamente de la misma forma en que krako está denunciando estos hechos. Incluso podría tratarse de un extorsionador tratando de sacar provecho de una transacción efectuada por terceros.

3.- Existe un elevado riesgo de que bloquees los bitcoins de un inocente que no se hubiese apercibido de que esos bitcoins estaban marcados. Te recuerdo que no puedes rechazar los bitcoins que te llegan en una transacción ni saber cuál es su historial hasta que ya se encuentran en tu billetera y es demasiado tarde.

Acabar con la fungibilidad de Bitcoin es matarlo directamente. ¿Quién decidiría sobre qué bitcoins son buenos y cuáles robados? ¿Quién se atrevería a enviar sus bitcoins a un exchanger o comercio sin estar completamente seguro de que no aparecen en las múltiples listas de bitcoins perseguibles que pudiesen surgir.

No digo que krako mienta. Sólo digo que no pueden existir bitcoins de primera y bitcoins de segunda. O, para que se me entienda mejor, no pueden existir diferenciaciones entre bitcoins buenos y malos.

No entiendo muy bien la explicación que has dado ni en que me benficiaría a mi... de todos modos No es mi caso. Eso si cada uno es libre de pensar como quiera. Las razones por las que inicié este hilo están en el primer post sois libres de creerme o no. Yo he cumplido mi objetivo principal, que era ver si alguién podía echarme una mano y ponerme en la senda para resolver los problemas de mi web. Afortunadamente gracias a este hilo y a la ayuda de algunas personas y a la profesionalidad de otras. Mi sitio vuelve a estar online y es mucho más seguro que hace 4 días.

No puedo decir que estoy contento, porque no lo estoy ya que no sé que repercusiones me traerá con mis clientes, pero si estoy satisfecho de como he llevado el tema y de los resultados conseguidos en 4 días. Y eso en parte ha sido gracias a abrir este hilo.

Saludos

[Polvos]

Yo te he tomado como ejemplo (espero que no te haya molestado) para explicar a aquellos usuarios que creen que "marcar" unos bitcoins como legales frente a otros sería una buen a idea, por qué no deberíamos apoyar ninguna propuesta que implique la ruptura de la fungibilidad de los bitcoins.

Probablemente digas la verdad y te hayan robado la base de datos, cosa tampoco demasiado complicada por los argumentos que aparecen en el mail que te envió el cracker (y con las contraseñas de los usuarios sin cifrar   ). Pero si estuvieses mintiendo, sería imposible de demostrar, de la misma forma que es imposible de demostrar la inexistencia de algo.

Y partiendo de esa hipótesis es por lo que digo que perder la fungibilidad de Bitcoin sería matarlo, puesto que implicaría centralizar la validación de monedas "limpias" en un organismo que debería focalizar todas las denuncias de robos (reales o no) que los usuarios reclamasen. También implicaría otros muchos problemas, como la exposición a posibles extorsiones (amenazando con denunciar como robo una transacción que a priori fue legal por alguna discrepancia entre los participantes), etc.

[Krako]

Hombre que se pongan en duda mis intenciones, aunque sea hipotéticamente, no me agrada para que te voy a engañar...
Pero entiendo lo que dices y estoy de acuerdo contigo en que no sería bueno que hubiera bitcoins "buenos" y "malos"

[liberman]

Yo te he tomado como ejemplo (espero que no te haya molestado) para explicar a aquellos usuarios que creen que "marcar" unos bitcoins como legales frente a otros sería una buen a idea, por qué no deberíamos apoyar ninguna propuesta que implique la ruptura de la fungibilidad de los bitcoins.

Probablemente digas la verdad y te hayan robado la base de datos, cosa tampoco demasiado complicada por los argumentos que aparecen en el mail que te envió el cracker (y con las contraseñas de los usuarios sin cifrar   ). Pero si estuvieses mintiendo, sería imposible de demostrar, de la misma forma que es imposible de demostrar la inexistencia de algo.

Y partiendo de esa hipótesis es por lo que digo que perder la fungibilidad de Bitcoin sería matarlo, puesto que implicaría centralizar la validación de monedas "limpias" en un organismo que debería focalizar todas las denuncias de robos (reales o no) que los usuarios reclamasen. También implicaría otros muchos problemas, como la exposición a posibles extorsiones (amenazando con denunciar como robo una transacción que a priori fue legal por alguna discrepancia entre los participantes), etc.

Se empieza marcando bitcoins como ilegales y se acaba regulando bitcoin como si fuera cualquier moneda actual. Es decir, bitcoin perdería todas sus ventajas.
Amén de otra serie de problemas, como que una persona acepte por error u omisión involuntaria transacciones con bitcoins ilegales, y ello le marcaría a si mismo y a todos con los que ha tenido transacciones como ilegal.

Dejemos que bitcoin sea lo que es y no intentemos echar encima la mano regulatoria.

[Gofio]

¿Y existe al menos algún mecanismo para saber si una cantidad de dinero recibida ha pasado por ahí alguna vez?

Por ejemplo, si alguien me compra algo, no quiero bitcoins que hayan podido pasar por esa dirección.

Todo lo que tienes es una probabilidad. Por ejemplo, si vemos en la cadena de bloques una transacción cuyas entradas son esa dirección y otra más, entonces podemos definir (sacarnos de la manga) que las salidas vienen en un 50% de la dirección del atacante, o sea, están un 50% "contaminadas" ("tainted" en inglés). Ahora, si una de estas nuevas salidas se combina con alguna otra para un pago posterior, este porcentaje de contaminación se va reduciendo, con lo que llega un punto en que no podemos considerar que las coins que nos llegan a nuestro wallet están suficientemente contaminadas, o sea, suficientemente relacionadas con el ataque inicial.

El objetivo último de mezclar las coins es precisamente este, desvincularlas de una dirección original. Esto puede ser para blanquear dinero o simplemente, por poner un ejemplo, porque si yo saco dinero de mtgox a una dirección, puede que no me interese que mtgox sepa que tengo esa cantidad de coins, por lo que procedo a vaciar la dirección y mezclar las coins con otras para que mtgox les pierda la pista.

Pero creo que estamos en las mismas, la cadena no está contaminada o no contaminada, porque salga de una dirección de alquien que haya crackeado la cuenta de Kratos, no podemos tachar partes de la misma, debido a su origen, en ese caso, la resistencia se vendría abajo, y con ella la vida de las cryptomonedas.  

La importancia de las cadenas no es su dirección origen, sino la rebustez de la misma que permita que quien la ataque, no consiga su objetivo.

Y por cuestión de blanqueo de dinero, con las monedas fiat, las commodities también se puede blanquear. ¿no creen?

[LuisCar]

Estáis desvirtuando el hilo, casi es mejor que este debate se continúe aquí:

https://bitcointalk.org/index.php?topic=293314.msg3141626#msg3141626

Si queréis conocer la opinión al respecto de uno de los desarrolladores principales, Jeff Garzik, leeros éste artículo (en inglés):

http://www.coindesk.com/what-should-we-do-with-stolen-bitcoins/