rubati 24 bitcoin su bitstam. 2FA+password lunga 20 + email di conferma prelievo

[gabridome]

A mio modesto parere (e ormai sapete quanto poco conta) ci sono alcuni modi di custodire i propri bitcoin relativamente sicuri:

Comunque gabridome , + lo leggo e + il tuo caso e' parecchio sospetto :
o qualcuno ti ha preso di mira appositamente e sei stata la cavia di un'esperimento ben congegnato, oppure hanno collimato troppe cose che non avrebbero dovuto , il che non mi convince 

Lavori o frequenti o parli con persone capaci in termini informatici, ma che ritieni al di sopra di ogni sospetto ?  

J

Siete gli unici con cui parlo in questo dettaglio. Per il resto parlo a "utonti" che del bitcoin mi dicono solo "mbeh?". Poi ci sono i curiosi e gli intelligenti ma sempre abbastanza ignoranti dal punto di vista informatico.
Vedo poco probabile un social hacking se non da internet (in quanto a privacy sono abbastanza un gruviera)...

[gabridome]

Ciao gabridome,
ho letto adesso il tuo post iniziale.
Prima di tutto, mi spiace molto per quanto accaduto! Grazie per aver condiviso questa tua "triste" esperienza, servirà sicuramente a molti, in modo che non capiti più in futuro.

Passo velocemente all'analisi dell'attacco.
Premessa n.1: Per mancanza mia di tempo, non ho letto tutto il thread. Spero di non aver saltato tue ulteriori importanti informazioni sull'accaduto.
Premessa n.2: Non ho mai usato Bitstamp.

CASO #1: Attacco interno da parte di Bitstamp.
Percentuale di successo 5% (massimo).
In effetti, questa ipotesi non si può mai escludere, ne ho viste tante di situazioni del genere.
Gli ho dato una piccola percentuale per ricordarsi che tutto può sempre accadere, ma sinceramente non credo sia questo il tuo caso.

CASO #2: Attacco sullo smartphone.
Percentuale di successo 1% (e sono stato generoso).
Si, in teoria ed in pratica è possibile fare un attacco via smartphone, ma le variabili in gioco sono molte, troppe !!!
Non sto a "perdere" tempo nella spiegazione, anche qui non credo sia il tuo caso.

CASO #3: Attacco sulla macchina.
Percentuale di successo 94%.
Tenendo sempre a mente la premessa n.1 e n.2 (vedi sopra), dal log che hai pubblicato nel primo post, mi sa tanto che avevi un virus all'interno della macchina.
Dal tipo di attacco, il virus è riuscito a prelevare dal tuo computer i dati di sessione di Bitstamp.
Le domande che ti devi fare sono principalmente due:
1) Cosa hai installato sulla macchina prima di subire l'attacco ?
2) Quando ti connettevi a Bitstamp cliccavi sul pulsante "Esci" (oppure "Logout", "Chiudi", ecc...) ?
Ti è stata presa la sessione attiva che avevi sulla macchina, è stata usata quella per accedere la prima volta su Bitstamp e poi hanno cambiato la password in modo da avere libero accesso.
Vorrei farti notare che non mi interessa se hai una password di 1.245 caratteri con simboli speciali e 45 controlli 2FA....    una volta che ti sei autenticato a sistema e ti attivo la sessione, sei dentro... punto e basta.

Questo tipo di attacco è interessante per due fattori:
1) Chi attacca la macchina della "vittima" deve controllare che l'utente rimanga attivo in sessione. L'attacco quindi non può essere portato dopo alcuni giorni, ma deve essere effettuato nel giro di alcune ore. Non so quanto sia persistente la sessione di Bitstamp.
2) Bitstamp NON controlla in sessione l'IP dell'utente! Si vede che alcuni utenti che hanno l'IP che cambia nel corso di sessione si sono lamentati e Bitstamp si è quindi adeguato.

Spero di esser stato di qualche aiuto,
saluti,
Tommaso

Grazie per la solidarietà.
Sono esperto di informatica ma la sicurezza ho cominciato a considerarla coi bitcoin.

Ciò che scrivi ha senso per me.
Come ho scritto ho avuto il mio primo malaware un mese fa cointhief preso con bitstealth. Avevo cancellato l'infezione seguendo le istruzioni ma avrei dovuto formattare il disco rigido e reinstallare mac (cosa che ho fatto ieri l'altro ( a buoi scappati).
Posto appena riesco la parte di "hystory" di Bitstamp precedente al furto in modo che possiamo discutere se e come hanno potuto tenere in piedi la sessione "rubata". Sinceramente non ricordo l'accesso più recente pre furto.

[gabridome]

Ciao gabridome,
ho letto adesso il tuo post iniziale.
Prima di tutto, mi spiace molto per quanto accaduto! Grazie per aver condiviso questa tua "triste" esperienza, servirà sicuramente a molti, in modo che non capiti più in futuro.

Passo velocemente all'analisi dell'attacco.
Premessa n.1: Per mancanza mia di tempo, non ho letto tutto il thread. Spero di non aver saltato tue ulteriori importanti informazioni sull'accaduto.
Premessa n.2: Non ho mai usato Bitstamp.

CASO #1: Attacco interno da parte di Bitstamp.
Percentuale di successo 5% (massimo).
In effetti, questa ipotesi non si può mai escludere, ne ho viste tante di situazioni del genere.
Gli ho dato una piccola percentuale per ricordarsi che tutto può sempre accadere, ma sinceramente non credo sia questo il tuo caso.

CASO #2: Attacco sullo smartphone.
Percentuale di successo 1% (e sono stato generoso).
Si, in teoria ed in pratica è possibile fare un attacco via smartphone, ma le variabili in gioco sono molte, troppe !!!
Non sto a "perdere" tempo nella spiegazione, anche qui non credo sia il tuo caso.

CASO #3: Attacco sulla macchina.
Percentuale di successo 94%.
Tenendo sempre a mente la premessa n.1 e n.2 (vedi sopra), dal log che hai pubblicato nel primo post, mi sa tanto che avevi un virus all'interno della macchina.
Dal tipo di attacco, il virus è riuscito a prelevare dal tuo computer i dati di sessione di Bitstamp.
Le domande che ti devi fare sono principalmente due:
1) Cosa hai installato sulla macchina prima di subire l'attacco ?
2) Quando ti connettevi a Bitstamp cliccavi sul pulsante "Esci" (oppure "Logout", "Chiudi", ecc...) ?
Ti è stata presa la sessione attiva che avevi sulla macchina, è stata usata quella per accedere la prima volta su Bitstamp e poi hanno cambiato la password in modo da avere libero accesso.
Vorrei farti notare che non mi interessa se hai una password di 1.245 caratteri con simboli speciali e 45 controlli 2FA....    una volta che ti sei autenticato a sistema e ti attivo la sessione, sei dentro... punto e basta.

Questo tipo di attacco è interessante per due fattori:
1) Chi attacca la macchina della "vittima" deve controllare che l'utente rimanga attivo in sessione. L'attacco quindi non può essere portato dopo alcuni giorni, ma deve essere effettuato nel giro di alcune ore. Non so quanto sia persistente la sessione di Bitstamp.
2) Bitstamp NON controlla in sessione l'IP dell'utente! Si vede che alcuni utenti che hanno l'IP che cambia nel corso di sessione si sono lamentati e Bitstamp si è quindi adeguato.

Spero di esser stato di qualche aiuto,
saluti,
Tommaso

Grazie per la solidarietà.
Sono esperto di informatica ma la sicurezza ho cominciato a considerarla coi bitcoin.

Ciò che scrivi ha senso per me.
Come ho scritto ho avuto il mio primo malaware un mese fa cointhief preso con bitstealth. Avevo cancellato l'infezione seguendo le istruzioni ma avrei dovuto formattare il disco rigido e reinstallare mac (cosa che ho fatto ieri l'altro ( a buoi scappati).
Posto appena riesco la parte di "hystory" di Bitstamp precedente al furto in modo che possiamo discutere se e come hanno potuto tenere in piedi la sessione "rubata". Sinceramente non ricordo l'accesso più recente pre furto.

2014-02-20 10:57:26   93.149.37.70   Logged in

Questo é l'ultimo login prima del prelievo.
C'é una cosa che però non mi spiego:
Come vedete nella "storia" non c'é menzione della doppia autenticazione (mentre il giorno del furto c'é scritto "logged in using two factor authentication).
Purtroppo ho l'ipad e non posso copiare più di una riga alla volta ma credetemi se vi dico che nella mia storia su bitstamp tutti i login appaiono senza la menzione della doppia autenticazione.

Potete confermarvi che due settimane fa anche voi avevate le voci di login senza la menzione?
É assurdo ma se ho passato mesi pensando di doppio autenticarmi ma la videata era finta ai ladri é stato sufficiente intercettare le credenziali!!!

Provo a chiedere a bitstamp e vi riferisco.

[gabridome]

Ecco il mio ticket a bitstamp:
One important question:
In my "history" page I didn't notice that my previous login were mentioned as "logged in" and not "logged in using two factor authentication".

I HAVE ALWAYS USED TWO FACTOR AUTHENTICATION TO OPERATE IN BITSTAMP.

I beg your pardon for the caps but how would you explain this??

Allego per voi la foto della pagina dell'history:

[gabridome]

Posso confermare che sin dall'inizio 17/12/2012 il mio account reca SOLO "logged in" nell'hystory.
Comincia a menzionare "logged in using two factor authentication" solo il giorno del furto!!!! 

In Inglese si dice WTF in italiano dico MACCHECCAZZO???

Giuro sui bitcoin che ho SEMPRE usato la 2FA su Bitstamp o meglio così mi hanno sempre fatto credere.

Qualcuno che usa bitstamp mi riesce a confermare che dal 22/2 hanno cominciato a riportare i logins in modo diverso o solo io sono stato ingannato dall'inizio?

Allego screenshot del mio debutto su bitstamp:

[gabridome]

Ragazzi,
Mi potete aiutare solo voi perché se é un inside job potrebbero usare il ticket che ho fatto per cancellare le tracce.

Chi di voi usa la 2FA su bitstamp: cosa legge nella sua history riguardo ai login??

[bertani]

Hai una lista delle email che hai ricevuto nelle ultime settimane da info@bitstamp.net? Potresti pubblicare gli oggetti delle email in questione?

[rikyxxx]

Ragazzi,
Mi potete aiutare solo voi perché se é un inside job potrebbero usare il ticket che ho fatto per cancellare le tracce.

Chi di voi usa la 2FA su bitstamp: cosa legge nella sua history riguardo ai login??

In effetti una cosa strana l'ho riscontrata anch'io ma è all'opposto rispetto alla tua...
In pratica mi riporta alcuni log-in eseguiti con la 2FA ma risalenti a giorni prima che io abilitassi la 2FA  
Però dopo l'abilitazione mi dice sempre "Logged in using two-factor authentication" come è giusto che sia.
Probabilmentela la history di bitstamp non è affidabile sotto questo aspetto.

[bitkill]

24 BitCoin sono una bella somma, qua gli amministratori del sito ne dovranno rispondere.
Hai contattato chi di dovere?

[gabridome]

Hai una lista delle email che hai ricevuto nelle ultime settimane da info@bitstamp.net? Potresti pubblicare gli oggetti delle email in questione?

L'ultima mail é del 16/4 e riguarda un deposito. Le altre sono tutte da noreply. perché?

[zauker]

Ragazzi,
Mi potete aiutare solo voi perché se é un inside job potrebbero usare il ticket che ho fatto per cancellare le tracce.

Chi di voi usa la 2FA su bitstamp: cosa legge nella sua history riguardo ai login??

Personalmente reputo improbabile l'inside job e propendo sull'attacco di un hacker esterno, a fronte del fatto che hai scritto che avevi il pc infetto.
A seguito della tua richiesta, posto i log (solo quelli relativi alla security) del mio account. Ritengo il log congruente con la mia effettiva attività sull'account. La riga "02/24/14 08:05 PM Logged in" che è senza "using two-factor authentication" si spiega perchè effettivamente avevo temporaneamente disabilitato il 2FA.

A Bitstamp si può tuttavia addebitare il fatto che il log non è completo/preciso (mancano quantomeno la riga di disabilitazione del 2FA e anche quella della primissima abilitazione del 2FA)

03/11/14 06:07 AM Logged in using two-factor authentication
03/10/14 09:27 PM Logged in using two-factor authentication
03/09/14 08:17 AM Logged in using two-factor authentication
03/06/14 09:02 AM Logged in using two-factor authentication
03/05/14 08:37 AM Logged in using two-factor authentication
03/03/14 11:36 AM Logged in using two-factor authentication
03/03/14 09:37 AM Logged in using two-factor authentication
03/01/14 09:58 AM Logged in using two-factor authentication
02/28/14 06:07 PM Logged in using two-factor authentication
02/28/14 06:04 AM Logged in using two-factor authentication
02/27/14 08:49 PM Logged in using two-factor authentication
02/27/14 03:14 PM Logged in using two-factor authentication
02/27/14 11:23 AM Logged in using two-factor authentication
02/27/14 11:19 AM Logged in using two-factor authentication
02/27/14 12:13 AM Logged in using two-factor authentication
02/24/14 08:11 PM Logged in using two-factor authentication
02/24/14 08:10 PM Enabled two-factor authentication
02/24/14 08:05 PM Logged in
02/22/14 10:52 AM Logged in using two-factor authentication
02/22/14 07:58 AM Logged in using two-factor authentication
02/21/14 07:47 PM Logged in using two-factor authentication
02/11/14 07:10 PM Logged in
02/10/14 08:35 PM Logged in
01/19/14 10:09 AM Logged in
01/17/14 07:58 AM Logged in
01/12/14 09:31 PM Logged in
01/08/14 08:21 AM Logged in
01/08/14 12:26 AM Logged in
01/06/14 12:37 PM Logged in
01/04/14 05:58 AM Logged in
01/03/14 03:23 PM Logged in
01/03/14 09:39 AM Logged in
01/02/14 05:12 PM Logged in
01/02/14 12:12 PM Logged in
01/02/14 12:09 PM Logged in
01/02/14 09:20 AM Logged in
01/02/14 07:35 AM Logged in
01/02/14 07:25 AM Logged in
01/01/14 11:25 PM Logged in
01/01/14 10:56 PM Logged in
12/27/13 08:36 PM Logged in
12/27/13 08:15 PM Logged in
12/27/13 07:47 PM Logged in
12/27/13 07:30 PM Logged in
12/27/13 05:02 PM Logged in
12/27/13 10:49 AM Logged in
12/27/13 10:38 AM Logged in
12/25/13 01:43 PM Logged in
12/25/13 11:15 AM Logged in
12/24/13 09:56 PM Logged in
12/24/13 05:15 PM Logged in
12/24/13 03:26 PM Logged in
12/24/13 02:33 PM Logged in
12/24/13 11:45 AM Logged in
12/24/13 11:08 AM Logged in
12/23/13 09:30 PM Logged in
12/23/13 07:38 PM Logged in
12/21/13 06:30 PM Logged in
12/20/13 10:02 PM Logged in
12/19/13 08:42 PM Logged in
12/19/13 10:31 AM Logged in
12/18/13 09:36 PM Logged in
12/18/13 11:15 AM Logged in
12/18/13 07:33 AM Logged in
12/16/13 04:48 PM Logged in
12/15/13 08:40 PM Logged in
12/12/13 07:48 PM Logged in
12/11/13 01:11 PM Logged in
12/11/13 12:43 PM Logged in
12/10/13 09:10 AM Logged in
12/09/13 09:41 PM Logged in
12/09/13 03:55 PM Logged in
12/09/13 07:58 AM Logged in
12/08/13 09:10 PM Logged in
12/08/13 06:27 AM Logged in
12/07/13 07:50 AM Logged in
12/06/13 09:50 AM Logged in
12/05/13 08:34 AM Logged in
12/04/13 03:40 PM Logged in
12/04/13 02:25 PM Logged in
12/04/13 10:16 AM Logged in
12/03/13 11:06 AM Logged in
12/03/13 08:33 AM Logged in
12/02/13 11:41 AM Logged in
12/02/13 09:26 AM Logged in
12/02/13 07:12 AM Logged in
12/01/13 04:43 AM Logged in
11/30/13 01:42 PM Logged in
11/30/13 08:40 AM Logged in
11/29/13 10:18 PM Logged in
11/29/13 06:34 PM Logged in
11/29/13 02:55 PM Logged in
11/29/13 01:04 PM Logged in
11/29/13 08:13 AM Logged in
11/28/13 04:24 PM Logged in
11/28/13 03:28 PM Logged in
11/28/13 03:22 PM Logged in
11/28/13 01:59 PM Logged in
11/28/13 06:48 AM Logged in
11/27/13 07:56 PM Logged in
11/27/13 07:45 PM Logged in
11/27/13 02:41 PM Logged in
11/27/13 07:22 AM Logged in
11/27/13 12:28 AM Logged in
11/26/13 04:59 PM Logged in
11/26/13 12:40 PM Logged in
11/26/13 10:52 AM Logged in
11/26/13 10:51 AM Changed user password
11/26/13 10:51 AM Logged in
11/26/13 08:49 AM Logged in

[zoe]

Questa sera ti posto anche il mio. Ora non posso.

[bertani]

Hai una lista delle email che hai ricevuto nelle ultime settimane da info@bitstamp.net? Potresti pubblicare gli oggetti delle email in questione?

L'ultima mail é del 16/4 e riguarda un deposito. Le altre sono tutte da noreply. perché?

Perche' ultimamente stan girando email abbastanza realistiche di phishing bitstamp

[IdiDiMarzo1]

gabridome non ho letto tutto...ma l'email di cui hanno preso possesso era quella di gmail collegata al cellulare?

Te lo chiedo perché se ne hanno cambiato la password il cellulare t'avrebbe avvisato subito che era impossibile sincronizzarsi con il server (e anche se hai tutti gli aggiornamenti disabilitati alcuni servizi google rimangono perennemente loggati).

[bitkill]

gabridome non ho letto tutto...ma l'email di cui hanno preso possesso era quella di gmail collegata al cellulare?

Te lo chiedo perché se ne hanno cambiato la password il cellulare t'avrebbe avvisato subito che era impossibile sincronizzarsi con il server (e anche se hai tutti gli aggiornamenti disabilitati alcuni servizi google rimangono perennemente loggati).

Infatti, se era la mail di google il celi al cambio password, appena provava a sincronizzato avrebbe dovuto restituire un messaggio di errore.
Io continuo a credere che sia tutta colpa dell'exchange stesso.

[gabridome]

gabridome non ho letto tutto...ma l'email di cui hanno preso possesso era quella di gmail collegata al cellulare?

Te lo chiedo perché se ne hanno cambiato la password il cellulare t'avrebbe avvisato subito che era impossibile sincronizzarsi con il server (e anche se hai tutti gli aggiornamenti disabilitati alcuni servizi google rimangono perennemente loggati).

La password cambiata é quella di bitstamp.
Gmail lo leggevo dappertutto ma la password non l'hanno cambiata però me la leggevano sicuramente.

[gabridome]

Risposta di bitstamp sui cambiamenti nella " history":
Dear Gabriele,

The reason that note is missing is very straight forward and it's that we have just recently added this information to your account history. Previously this was not recorded.

Best regards,

Si tratterebbe quindi di una coincidenza. Non so cosa pensare.

[gabridome]

24 BitCoin sono una bella somma, qua gli amministratori del sito ne dovranno rispondere.
Hai contattato chi di dovere?

Ho chiamato la polizia postale per chiedergli se avrei dovuto denunciare un furto di bitcoin:
"Mi lasci un numero da chiamare. Mi consulto con un superiore e poi la contatto".
Questo venerdì.

[Tommy76]

Ragazzi,
Mi potete aiutare solo voi perché se é un inside job potrebbero usare il ticket che ho fatto per cancellare le tracce.

Chi di voi usa la 2FA su bitstamp: cosa legge nella sua history riguardo ai login??

In effetti una cosa strana l'ho riscontrata anch'io ma è all'opposto rispetto alla tua...
In pratica mi riporta alcuni log-in eseguiti con la 2FA ma risalenti a giorni prima che io abilitassi la 2FA  
Però dopo l'abilitazione mi dice sempre "Logged in using two-factor authentication" come è giusto che sia.
Probabilmentela la history di bitstamp non è affidabile sotto questo aspetto.

Ciao,
chiedo scusa se vado di fretta, ma in questi giorni sono pieno di impegni ed ho poco tempo.
Ok, ammettiamo che il DB "stats" di Bitstamp non è preciso e ci sono utenti che si trovano scritte non corrispondenti al 100%.
Questo in effetti sposta leggermente in alto la percentuale di un attacco interno, ma da solo non basta. Le tabelle "stats" sul DB vengono popolate con scritte che possono cambiare in qualsiasi momento.
Inoltre è più semplice per Bitstamp far "sparire" dei soldi ad utenti che non hanno attivo 2FA, chi attiva questa funzione un minimo di conoscenze tecniche le deve avere.
Detto questo, 24 bitcoin non sono pochi, Bitstamp ti deve dare massimo supporto.
saluti,
Tom

[zoe]

questa è il mio storico. prima del 20-2 non avevo il 2FA attivato

Data e ora   Indirizzo IP   Azione
2014-03-11 15:29:17      Logged in using two-factor authentication
2014-03-10 20:37:41   Opened limit sell order xxxxxxxxxxxxxxxxxxxx
2014-03-10 20:36:39      Logged in using two-factor authentication
2014-03-10 20:13:58      Opened instant buy order for xxxxxxxxxxx
2014-03-10 19:51:46      Logged in using two-factor authentication
2014-03-10 18:49:39      Opened limit buy order xxxxxxxxxxxxxxxxx
2014-03-10 18:36:10   Logged in using two-factor authentication
2014-03-08 09:25:35   Opened limit buy order xxxxxxxxxxxxxxxxxx
2014-03-08 09:23:46   Opened limit buy order xxxxxxxxxxxxxxxxx
2014-03-08 09:20:13      Logged in using two-factor authentication
2014-03-07 18:09:31      Opened limit buy order xxxxxxxxxxxxxxxxxxxxxx
2014-03-07 18:07:25      Logged in using two-factor authentication
2014-03-05 20:08:40      Opened limit buy order xxxxxxxxxxxxxx
2014-03-04 17:02:16      Logged in using two-factor authentication
2014-03-03 21:16:32      Logged in using two-factor authentication
2014-03-03 18:13:59      Opened limit buy order xxxxxxxxxxxx
2014-03-03 18:10:32      Logged in using two-factor authentication
2014-02-27 21:33:15      Logged in using two-factor authentication
2014-02-24 05:18:21      Logged in using two-factor authentication
2014-02-23 20:50:40      Opened limit sell order xxxxxxxxxx
2014-02-23 20:47:28      Logged in using two-factor authentication
2014-02-23 19:02:43      Logged in using two-factor authentication
2014-02-23 10:03:27      Opened limit buy order xxxxxxxxxxxx
2014-02-23 09:56:53      Opened instant sell order for xxxxxxxxxx
2014-02-23 09:30:30      Logged in using two-factor authentication
2014-02-22 21:58:24      Opened limit sell orderxxxxxxxxxxxxxxxx
2014-02-22 21:56:21      Logged in using two-factor authentication
2014-02-20 20:39:48      Logged in
2014-02-20 20:36:53      Changed user password
2014-02-20 20:32:38      Logged in
2014-02-20 10:31:56      Logged in
2014-02-20 10:30:37      Logged in
2014-02-20 08:47:04      Opened limit buy order xxxxxxxxxxxxxxxxxx
2014-02-20 08:33:56      Logged in
2014-02-16 19:52:34      Logged in