Сервер bitcointalk.org был взломан - СМЕНИТЕ ПАРОЛИ

[LZ]

Пошаговая инструкция для смены пароля:
1) перейти по ссылке PROFILE (сверху в панели навигации);
2) перейти по ссылке 'Account Related Settings' (она слева);
3) ввести новый пароль в два поля 'Choose/Verify password';
4) ввести старый пароль в поле 'Current Password' (внизу);
5) нажать на кнопку 'Change profile' для смены пароля.

Сообщение о взломе: https://bitcointalk.org/index.php?topic=42572.0

[1714197508]

1714197508

[1714197508]

1714197508

[ArsenShnurkov]

On September 3, an attacker used a 0-day exploit in SMF to gain administrative access to the forum. This went unnoticed until September 9, when he inserted some annoying JavaScript into all pages.

Вы чего, серьезно думате, что если они порутили, то они не могли все пароли при логине в открытом виде получать?
хеши тут не нужны!!!

Ну а как анонимнее всего вывести деньги с mtgox ? Ясное дело, что в биткоинах.
Поэтому надо сначала продать всю валюту и получить биткоины,
а потом по-тихоньку их выводить.

Учитывая падение курса до этого, все как раз в валюте сидели...

Вот такая гипотеза роста курса...

[Yagiza]

On September 3, an attacker used a 0-day exploit in SMF to gain administrative access to the forum. This went unnoticed until September 9, when he inserted some annoying JavaScript into all pages.

Вы чего, серьезно думате, что если они порутили, то они не могли все пароли при логине в открытом виде получать?
хеши тут не нужны!!!

Вы бредите, уважаемый? Откуда они получат пароли в открытом виде (будь они хоть трижды рутами), если их просто не существует в природе?
Форумы, хранящие где бы то ни было пароли, уже давно редкость, встречающаяся лишь на самых лоховских сайтах!

Вот такая гипотеза роста курса...

Дебильная гипотеза. Ибо я ещё раз готов поклясться чем угодно, что мой ордер на 49BTC по $11 висел 2 недели, но исполнен не был!

[ArsenShnurkov]

Вы бредите, уважаемый?

Никак нет, несравненный.

MtGOX-ы писали, что хакеры получили возможность произвольно менять PHP-код сайта.

Это значит, что могли просто логгировать то, что передается в теге FORM методом POST при логине.
Тут все в открытом виде.

Хранение в базе - это уже позднее.

если их просто не существует в природе?

Во-первых, это не тот случай.
Во-вторых, даже если бы использовалась Digest-аутентификация, способ аутентификации можно и переконфигурировать на basic.

готов поклясться чем угодно, что мой ордер на 49BTC по $11 висел 2 недели, но исполнен не был

я верю, это может отдельно быть багой, не связанной со взломом форума. Гипотезе наличие этой второй баги никак не мешает.

[N.Z.]

Арсен прав.