Взлом аккаунтов BTC-E

[Lightwinder]

И чтобы не голословно, предлагаю свою схему: отдельный ноутбук с отдельным интернетом (LTE/3G?) исключительно для операций с кошельком (electrum мне видится идеальным решением), биржой и почтой к ней привязанной (не росийского происхождения, можно гмыло c 2ФА). ОС по-вкусу, либо актуальная винда с антивирем, либо линукс, что-нить из разряда Long Support (CentOS 6, Ubuntu LS-релизы, и т.п.). Все пароли разные. Все пароли нетривиальные (типа "G4kf9djRpfd4nF" считаю достаточным). Ну и естественно бэкап электронный и бэкап бумажный всего этого дела, в разных местах (квартирах/домах). И везде, где можно включить 2ФА, необходимо ее включить.

Схема неплохая. Свой вариант аналогичный этому я и описывал выше, только там я предлагал ноут или планшет на IOS - это важно - она не так уязвима как винда. Или я отстал и уже уязвима?
Насчет ссылок и подозрительного поведения сайта биржи - все правильно, но только в случае если поддержка будет работать оперативно и общаться по-человечески, вежливо и развернуто. Бабло нехилое получают, неужели нельзя усилить защиту и увеличить штат?!
И все же я считаю что при такой высокой степени риска ВТСе должна пользователей хотя бы принудительно заставлять пользоваться 2ФА, а не делать из них лохов. Уже столько случаев тырева, что по-прежнему разрешать заводить счета и трейдить по обычному входу почта/пароль даже без СМС подтверждения - это, извините, практически сотрудничество с хакерами. У меня в первый раз в жизни такое вообще, притом что года три уже я активно пользуюсь разными платежными системами в тырнете и карточками.
Еще идея- несколько аккаунтов, чтобы не класть все яйцы в одну корзину. Правда, по-нормальному тогда нужно столько же и устройств для торговли а это уже реальная паранойя будет))

[bestsponsor]

И чтобы не голословно, предлагаю свою схему: отдельный ноутбук с отдельным интернетом (LTE/3G?) исключительно для операций с кошельком (electrum мне видится идеальным решением), биржой и почтой к ней привязанной (не росийского происхождения, можно гмыло c 2ФА). ОС по-вкусу, либо актуальная винда с антивирем, либо линукс, что-нить из разряда Long Support (CentOS 6, Ubuntu LS-релизы, и т.п.). Все пароли разные. Все пароли нетривиальные (типа "G4kf9djRpfd4nF" считаю достаточным). Ну и естественно бэкап электронный и бэкап бумажный всего этого дела, в разных местах (квартирах/домах). И везде, где можно включить 2ФА, необходимо ее включить.

Схема неплохая. Свой вариант аналогичный этому я и описывал выше, только там я предлагал ноут или планшет на IOS - это важно - она не так уязвима как винда. Или я отстал и уже уязвима?
Насчет ссылок и подозрительного поведения сайта биржи - все правильно, но только в случае если поддержка будет работать оперативно и общаться по-человечески, вежливо и развернуто. Бабло нехилое получают, неужели нельзя усилить защиту и увеличить штат?!
И все же я считаю что при такой высокой степени риска ВТСе должна пользователей хотя бы принудительно заставлять пользоваться 2ФА, а не делать из них лохов. Уже столько случаев тырева, что по-прежнему разрешать заводить счета и трейдить по обычному входу почта/пароль даже без СМС подтверждения - это, извините, практически сотрудничество с хакерами. У меня в первый раз в жизни такое вообще, притом что года три уже я активно пользуюсь разными платежными системами в тырнете и карточками.
Еще идея- несколько аккаунтов, чтобы не класть все яйцы в одну корзину. Правда, по-нормальному тогда нужно столько же и устройств для торговли а это уже реальная паранойя будет))

Меня никто не слышит (не читает)? Или всем нужно выводить деньги с биржи по пять раз на день?
Таймаут на вывод решает все вопросы, причем с минимальными затратами на внедрение.
Таймаут - это задержка между заявкой на вывод и её обработкой, может кому непонятно.

[Lightwinder]

Меня никто не слышит (не читает)? Или всем нужно выводить деньги с биржи по пять раз на день?
Таймаут на вывод решает все вопросы, причем с минимальными затратами на внедрение.
Таймаут - это задержка между заявкой на вывод и её обработкой, может кому непонятно.

Да понял я. Лишь бы на бирже прислушались наконец) а то такое впечатление, что это игра такая - СамЛохъ называется.. Внедрить надо бы таймаут и обязательное 2ФА ДЛЯ ВСЕХ. Потому что новые пользователи типа меня заходят "а, после включу, у меня ж немного"  и потом расслабляются. Затем возникают подобные посты, скандалы, портящие имидж биржи. Неужели им пофигу? Или реально сотрудничают с жуликами? Проблема в том что остальные еще хуже..
И почему здесь не слышно представителей ВТСе??

[mike123]

Всем здрасте, в общем в полку обворованых прибыло.
В свете падения курса довольно долго не заходил на биржу. И вот сегодня открыл Qt Bitcoin  trader и обнаружил, что все мои средства были переведены в биткоины (ордера были исполнены ночью 9.05.2014), сейчас на счету пусто. При попытке зайти на сайт со своим паролем получил отказ. Сменил пароль, далее отказ при вводе пин кода, те и пароль и qr код для двухфакторной авторизации были сменяны. Собственно для btc-e и gmail использовал преславутую двухфакторную авторизацию, но как видно это не помогло. Послееднее письмо которое я получал от btc-e было датировано 11 марта, я не получил ниодного письма о смене пароля, либо выводе средств. Скорее всего все письма сразу же удалялись.
Если все сложить, то по курсу покупки на счету было больше 400тыс руб

Служба поддержки дола следующий лог

Code:

123 edit pass reset 95.154.76.* 
27.05.14
04:15
122 edit otp key edited #103403 set 1:1:1:1 94.181.51.162 
09.05.14
16:10
121 edit otp key confirmed #103403 94.181.51.162 
09.05.14
16:09
120 login success login 94.181.51.162 
09.05.14
16:04
119 edit otp key unlinked 94.181.51.162 
09.05.14
16:04
118 edit otp unlink request 95.32.216.33 
25.04.14
15:56
117 edit pass reset 95.32.216.33 
25.04.14
15:49
116 login success login 95.154.76.* 
28.03.14
03:28

95.154.76.* мой адрес. Остальное ip злоумышленника. Как видно он старался использовать прокси наиболее похожие на мой адрес, чтобы не вызвать подозрений.
Получается что кто-то получил доступ к моему gmail ящику. Далее 25.04.14 запросил сброс пароля, затем отвязал двухфакторную авторизацию и по прошествии двух недель получил доступ к моему аккаунту в btc-e. И моментально вывел монеты, без всяких преград.
 
Всегда думал, что с этой авторизацией в случае взлома, максимум что может произойти это блокировка аккаунта и далее долгие часы объясния со службой поддержки. Оказывается все намного проще, достаточно получить доступ к сессии gmail и немного везения.
Знал бы что все так просто, вывел бы все на кошельки до лучших времен и не хранил на бирже.

В данной ситуации - возможность смс уведомления и письмо на дополнительный ящик могли бы исправить положение. И будь у биржы такой функционал я бы им пользовался даже за отдельную плату. А также блокировка по ip, 80% времени я заходил на биржу именно с этого ip адреса 95.154.76.* в том числе и пополнял баланс. За все время, я ни разу не снимал с биржи деньги. И когда по прошествии времени, кто-то пытается сменить пароль и ключ авторизации, а в последствии выводит все средства с совершенно другим ip адресом, принадлежащим сети другого провайдера, я думаю это должно вызвать подозрение и холд на месяц был бы весьма кстати.

[Vicus]

Это пиздец товарищи У чувака увели мыло, а виновата биржа. Биржа 2 недели честно держала ваши деньги Вы поймите одну простую истину: что если вас взломали, то вам уже ничего не поможет, кроме чуда. Это как со спидом - важна профилактика. Когда болен, уже все...

Меня никто не слышит (не читает)? Или всем нужно выводить деньги с биржи по пять раз на день?
Таймаут на вывод решает все вопросы, причем с минимальными затратами на внедрение.
Таймаут - это задержка между заявкой на вывод и её обработкой, может кому непонятно.

Вон у чувака выше мани-холд на две недели был и чо? Не надо перекладывать с больной головы на здоровую.

[bestsponsor]

Это пиздец товарищи У чувака увели мыло, а виновата биржа. Биржа 2 недели честно держала ваши деньги Вы поймите одну простую истину: что если вас взломали, то вам уже ничего не поможет, кроме чуда. Это как со спидом - важна профилактика. Когда болен, уже все...

Меня никто не слышит (не читает)? Или всем нужно выводить деньги с биржи по пять раз на день?
Таймаут на вывод решает все вопросы, причем с минимальными затратами на внедрение.
Таймаут - это задержка между заявкой на вывод и её обработкой, может кому непонятно.

Вон у чувака выше мани-холд на две недели был и чо? Не надо перекладывать с больной головы на здоровую.

Как раз всякие 2ФА показали несостоятельность.
Если он месяцами не заглядывает на биржу, то стоял бы у него личный холд на месяц или 2 и это-бы его спасло.
Я заглядываю каждый день и меня устроил-бы холд 24часа.
Это реальное решение.
Почему у биржи есть инструмент холда при параное, а пользователю такой возможности не дали ?

[bestsponsor]

Вон eBay взломали, шлют письма с просьбой сменить пароль.
Будет стоять на биржу и почту хоть 10ФА, их ломанут, а виноватыми признают юзера, типа не следил за безопасностью.
В случае с холдом  если биржу ломанут - они не смогут назначить крайним клиента. 

[bestsponsor]

Вот кстати хороший вариант почти неломаемой почты.
Работает только на телефоне и планшете, авторизация без пароля - только SMS.
Плохо одно - дитя mail.ru
http://mymail.my.com/ru/

[Lightwinder]

Всем здрасте, в общем в полку обворованых прибыло.
Всегда думал, что с этой авторизацией в случае взлома, максимум что может произойти это блокировка аккаунта и далее долгие часы объясния со службой поддержки. Оказывается все намного проще, достаточно получить доступ к сессии gmail и немного везения.
Знал бы что все так просто, вывел бы все на кошельки до лучших времен и не хранил на бирже.

В данной ситуации - возможность смс уведомления и письмо на дополнительный ящик могли бы исправить положение. И будь у биржы такой функционал я бы им пользовался даже за отдельную плату. А также блокировка по ip, 80% времени я заходил на биржу именно с этого ip адреса 95.154.76.* в том числе и пополнял баланс. За все время, я ни разу не снимал с биржи деньги. И когда по прошествии времени, кто-то пытается сменить пароль и ключ авторизации, а в последствии выводит все средства с совершенно другим ip адресом, принадлежащим сети другого провайдера, я думаю это должно вызвать подозрение и холд на месяц был бы весьма кстати.

Я к защитникам биржи: ну и к чему здесь можно придраться? Увели мыло? Самый надежный гмаил, да? И 2ФА надежнее нету? Утверждал и продолжаю утверждать: поддержка и защита биржи требует доработки, иначе ВТСе скоро останется без трейдеров. И здесь никто еще не предложил стратегию, КАК ЗАЩИТИТЬСЯ ПРИ НЫНЕШНЕМ СОСТОЯНИИ БИРЖИ САМОМУ.

2mike123:
-какая ось на компе?
-был ли комп включен в момент взлома и кражи?
-антивирусы?

В общем, найдите брешь в своей защите. Не найдете - надеюсь услышать аргументы защитников биржи, которым пока видимо везет)

[Grumlin]

XP с возрастом становится только лучше в плане безопасности.
XP постепенно переходит в ранг не ширпотребовских ОС и вирусописатели на неё все менее ориентируются.
Это не голословное утверждение, я пару лет назад работал на гос.предприятии - обслуживал компы и пр.
Так вот - там где нужны были "печатные машинки" ставил Win 98 без антивиря. Все машины в сети. Так вот на 98 проблем с вирусней не было вообще, а на XP только политиками и спасался.

Я даже дискутировать на эту тему не буду. Это бред и глупости. Вопросы безопасности решаются головой, а не убеждением себя в том, что 98 винда теперь нафиг никому не сдалась. Нужно будет вас сломать, есть готовый вагон и маленькая тележка всевозможных уязвимостей с готовым proof-of-concept кодом. И как только злоумышленнику станет известно про 98-ую винду, вас уже ничто не спасет, ни сверх-сложные пароли, ни хитроумные настройки. Эта же участь ждет и XP.

Ооо, викус, тебя занесло уже не туда, так я тебе ещё больше скажу, если тебя захотят взломать, то не спасёт тебя ни виста, ни семерка, ни 8 ни 8.1, ни линукс, ни мак, ни чтото ещё, бэкдоры есть везде

[bestsponsor]

Согласен, защита на бирже "от барина" - хочу защищаю (холдом), а хочу "сам виноват".
Самое страшное, что btc-e  нивкакую не идет на контакт, чтобы решить эту проблему.
Мол все у них хорошо, используйте 2ФА.
Да нет толку от 2ФА, если есть руткиты, кейлогеры и пр., а они будут всегда, и будут совершенствоваться.
Уровень безопасности биржи должен быть расщитан на трейдера, а не на компьютерного ГИКа.
Для них ведь не сложно разрешить холды со стороны клиента.
Пусть не холд, другие варианты.
Создать ветку с предложениями по усилению безопасности и потом провести голосование по вариантам.
Но они даже в этой теме не появляются.

[tvskit]

Как бы защиту не сделали, всегда найдется чел у которого шпиздят деньги. По всему выше сказанному надо обязательно сделать холд при любой попытке смены пароля/ящика/данных. Подтверждение на вывод средств СМС или типа http://mymail.my.com/ru/ т.е. на отдельном устройстве - планшет, сотик. И все это на усмотрение пользователя, не включил, сам виноват.

[bestsponsor]

При взломе воруют что? - крипту.
Почему? - нет холда на вывод, как у фиата.
Вывод - делать холд причем желательно контролируемый пользователем.

В идеале биржа должна принять такие меры:
 - ввести пользовательский холд;
 - завести собственный почтовый сервер с шифрованием сообщений и обеспечить клиентов механизмом дешифровки.
Клиент должен:
 - отвязать почту от рабочей машины (использовать телефон/планшет)
 - не использовать рабочий комп для любых иных задач и позаботиться о актуальной антивирусной защите.

[Ross_ua]

При взломе воруют что? - крипту.
Почему? - нет холда на вывод, как у фиата.
Вывод - делать холд причем желательно контролируемый пользователем.

В идеале биржа должна принять такие меры:
 - ввести пользовательский холд;

неужели об этом заговорили
я выхожу из ситуации постоянной сменой пароля
но уже поднадоело

[somenick]

если саму биржу не взломали ( что подтвержается тем что биржа еще существует )
значит взломали ваш комп
поэтому 99% процентов защиты дает линукс комп который используется только для биржи
если сумма на бирже большая то купить ноут думаю проблем не будет

[tvskit]

Я уверен в одном! Кто изначально поставил чистую винду(да хоть что), антивирус(нормальный) и использует только для работы с биржей, у тех проблем не было на 101%.

[GGUL]

если саму биржу не взломали ( что подтвержается тем что биржа еще существует )
значит взломали ваш комп
поэтому 99% процентов защиты дает линукс комп который используется только для биржи
если сумма на бирже большая то купить ноут думаю проблем не будет

есть еще слабое/промежуточное  звено - почтовый сервер

можно же  уйти от него:
например вход через btc-адрес , биржа  отправляет сообщение, ты подписываешь и отправляешь
сервер проверяет подпись.
Никуда никакие пароли не передаешь.

В качестве замены почты для общения с администрацией можно использовать Bitmessage.
тоже никуда никакие пароли не передаешь.

Можно же сделать это опционально.

после этого уже можно думать о защите своего компьютера.
например чистая ОС, загружаемая с CD-диска (или usb-носителя с затвором от записи) и работа с биржей только через нее.

[bestsponsor]

если саму биржу не взломали ( что подтвержается тем что биржа еще существует )
значит взломали ваш комп
поэтому 99% процентов защиты дает линукс комп который используется только для биржи
если сумма на бирже большая то купить ноут думаю проблем не будет

если биржа может обеспечить более высокую степень безопасности (причем  без изменения инфраструктуры и ощутимых капиталовложений) , то она обязана это сделать.
а отдельный ноут или линукс - это до момента, пока кто-то его не захотел поломать.
опять таки - трейдер не ГИК и не обязан разбираться в тонкостях настройки ОС и протоколах маршрутизации.

Возьмите Paypal к примеру. Они могли бы тоже отнекиваться мол юзер виновен - не уследил. Но они имеют целую систему обеспечения безопасности срелств на счетах и никого не принуждают к бесполезной 2ФА. И более того, не указывают юзверям какой ОС им пользоваться.

BTC-E ничего не стоит поднять безопасность до такого уровня, что можно будет спокойно работать в рассаднике троянов и руткитов. Им нужно только захотеть.

[mike123]

2mike123:
-какая ось на компе?
-был ли комп включен в момент взлома и кражи?
-антивирусы?

Win7 лицензия, комп довольно долгое время включен, Avira Internet Security

Я уверен в одном! Кто изначально поставил чистую винду(да хоть что), антивирус(нормальный) и использует только для работы с биржей, у тех проблем не было на 101%.

Вы ошибаетесь, сломать можно все что угодно. Было бы желание) Но то, что это осложнит работу взломщику - это факт. К тому же есть еще социальная инженерия и человеческий фактор никто не отменял.

Это пиздец товарищи Smiley У чувака увели мыло, а виновата биржа. Биржа 2 недели честно держала ваши деньги Smiley Вы поймите одну простую истину: что если вас взломали, то вам уже ничего не поможет, кроме чуда. Это как со спидом - важна профилактика. Когда болен, уже все...

Согласен, кроме как на себя, ни на кого надеется не стоит, но есть и другая сторона медали. Была бы возможность на бирже указать дополнительное мыло, номер телефона для сообщений. Или возможность принудительного холда при выводе средств, на произвольный срок самим пользователем, я бы ей непременно воспользовался и это могло бы помешать вору.
Опять же касаемо моей ситуации, почему действия мошенника не вызвали у представителей биржи никаких вопросов, как я уже сказал, все средства я вносил скорее всего с одного ip(или одной подсети), а тут смена пароля, отключение авторизации и вывод средств совершенно из другой сети. Можно было просто заморозить аккаунт, задать пару вопросов вору (например, какими суммами вносились средства и через какие системы). Понятно, что у биржи таких случаев не один, но они не за спасибо работают, можно нанять людей, либо как-то алгоритмизировать такие действия (хотя бы фильтруя ip адреса). А возможность конечного решения уже предоставлять людям из техподдержки.
Обидно то что сообщения о взломах, как я уже успел понять появились довольно давно, вариантов защиты предложено множество. А на бирже ничего фактически не поменялось.

[bestsponsor]

Меня удивляют некоторые личности, которые упорно защищают биржу с ее нежеланием стать безопасней.
Вам чей карман ближе? Для вас ведь стараемся и для себя конечно.
BTC-e должны сделать со своей стороны все возможное для гарантирования сохранности средств клиентов. И защита от дурака (клиента) тоже обязана быть.