rubati 24 bitcoin su bitstam. 2FA+password lunga 20 + email di conferma prelievo

[gabridome]

State attenti là fuori.
Mi hanno rubato 24 BTC nonostante avessi una password unica di 20 caratteri scelti da lastpass, avessi l'autenticazione a 2 fattori con Google authenticator e avessi richiesto la conferma tramite email alle mie richieste di prelievo.
Ho denunciato sul forum e questo é lo thread per chi legge l'inglese: https://bitcointalk.org/index.php?topic=500266.0;topicseen

Questa é la storia dell'hacking come la riporta Bitstamp:
* 2014-02-22 19:56:08   109.163.234.9   Logged in using two-factor authentication
* 2014-02-22 20:01:39   109.163.234.9   Opened bitcoin withdrawal request for 23.83677391 BTC to 1PGPkndy1nYLUee3nKKLez8smjqK5zBNKE
* 2014-02-22 20:01:39   109.163.234.9   Bitcoin withdrawal request: email was sent to user
* 2014-02-22 20:02:00   109.163.234.9   Bitcoin withdrawal request: email confirmed by user
* 2014-02-22 20:09:33   161.53.74.122   Changed user password
* 2014-02-22 20:12:33   96.47.226.20   Opened instant buy order for $36.30
* 2014-02-22 20:13:38   96.47.226.20   Opened bitcoin withdrawal request for 0.05965404 BTC to 1PGPkndy1nYLUee3nKKLez8smjqK5zBNKE
* 2014-02-22 20:13:38   96.47.226.20   Bitcoin withdrawal request: email was sent to user
* 2014-02-22 20:15:35   96.47.226.20   Bitcoin withdrawal request: email confirmed by user
* 2014-02-22 20:24:24   141.212.108.13   Changed user password

Le cose incredibili sono a mio parere: il furto delle credenziali, il furto dei codici dell'autenticazione con Google Authenticator, la presa possesso dell'email (per cui hanno confermato il prelievo al posto mio cancellando poi l'email relativa) e il fatto che abbiano cambiato la mia password per poi continuare a svuotarmi l'account comprando 36$ di bitcoin per poi prelevarli.

Bitstamp mi ha risposto dopo 5 giorni... Speravo un po' più di impegno. Mi hanno confermato che a loro non risulta niente di anormale (nello specifico il ladro non ha cambiato l'email a cui mandare le conferme e ha risposto al posto mio e poi ha cancellato le tracce).

Sul forum a parte l'ovvietà che uno non impara mai che non si tengono i soldi sugli exchanges (di solito non lo faccio ma sono stato impegnato e... punito) la cosa che risulta molto imprudente é fare login sullo stesso device dove c'é google authenticator e dove c'é la tua email (con password ovviamente memorizzata).

Guardando sui log degli accessi alla mail risultano accessi da molti paesi segno evidente che avevano il controllo della mail e la manovravano attraverso TOR.

Spero che questo POST sia utile ad altri. se avete bisogno di chiarimenti sono a disposizione ma nel frattempo: paper wallets ed electrum o Armory offline per gli importi che non volete perdere.

[cedivad]

Non sei solo, c'era un post simile stamattina su reddit.

[golikcoin]

tieni le tue password da qualche parte salvate? tipo dropbox o similari?

in ogni caso avevano pieno accesso ad ogni tuo account

[gabridome]

Non sei solo, c'era un post simile stamattina su reddit.

già... era il mio...

[gabridome]

tieni le tue password da qualche parte salvate? tipo dropbox o similari?

in ogni caso avevano pieno accesso ad ogni tuo account

Lastpass... Così imparo a "tradire" i ragazzi di Clipperz... 

[jankko60]

Questa é la storia dell'hacking come la riporta Bitstamp:

* 2014-02-22 19:56:08   109.163.234.9   Logged in using two-factor authentication

Direi che avevi le password scritte in chiaro da qualche parte sul cellulare ( o sul PC di casa o in un account da qualche parte ?)  e te le hanno sottratte

Ti sovviene ?

J

[gabridome]

Questa é la storia dell'hacking come la riporta Bitstamp:

* 2014-02-22 19:56:08   109.163.234.9   Logged in using two-factor authentication

Direi che avevi le password scritte in chiaro da qualche parte sul cellulare ( o sul PC di casa o in un account da qualche parte ?)  e te le hanno sottratte

Ti sovviene ?

J

No. Questo no. Assolutamente.

[alch1mista]

Incredibile.
Posso chiederti che sistema operativo utilizzavi? Se hai fatto tutto dallo smartphone?

Ma come cazzo hanno fatto a fottere tutto insieme? E' assurdo..

[brutale2]

Se hanno preso il controllo del pc tramite rat o malware vari non c'è password che tenga 

[Kurmi]

ciao
se avete windows compratevi kaspersky internet security su ebay costa poco...
Kurmi

[alch1mista]

ciao
se avete windows compratevi kaspersky internet security su ebay costa poco...
Kurmi

Gli fa una sega kaspersky..

Comunque usava apple, mi son letto tutto il topic inglese e sono piuttosto convinto che il vettore di infezione sia stato il cellulare, ma gabriele dovrebbe confermare di essersi loggato attraverso il telefono sia a bitstamp che a gmail.

E poi è strano che siano usciti da tor per loggarsi a gmail, che mi rompe il cazzo anche a me quando vado in vacanza (senza cambiare pc).

[jankko60]

Se hanno preso il controllo del pc tramite rat o malware vari non c'è password che tenga  

Concordo

mi rifiuto di pensare anche per un'attimo che abbiano agito dall'interno , a meno che non abbiano sniffato il traffico prima di entrare in bitstamp, ma e' cosa da poche persone e dotate di mezzi non alla portata di chiunque

Credo che FaSan , potrebbe dire la sua con ottima cognizione di causa sull'argomento
 
J

[Trigun]

la cosa sorprendente è come hanno fatto ad avere il codice dell'autenticator ..
cioè quella è una cosa che viene salvata solo sul telefonino... quindi o ti hanno toccato il telefono e preso i dati oppure non vedo in che altro modo...
tutto il resto è fattibile..
certo che se hai il telefono rootato e lo colleghi al pc allora il discorso è diverso... dato che a quel punto avrebbero potuto prendere i dati del telefono (e quindi il tuo auth) per poi far tutto il resto....
per quel che riguarda il resto.... beh potresti avere anche una sorpresa su windows... ovvero potresti ritrovarti con un nuovo utente sul computer che tu non hai mai creato...
(da dos si vede scrivendo "net user")
il metodo di crearsi un utente è un metodo che ho usato anch'io ai miei tempi quando facevo il piccolo hacker (tipo 15 anni fa :-P)
sostanzialmente una volta che si bucava il pc e si aveva l'accesso si creava un utente che girando in background poteva fare quello che voleva ... entrando con un programma di accesso remoto qualsiasi sul 2° utente potevi muovere il mouse aprire programmi ecc ecc all'insaputa dell'utente principale... ovviamente ha i suoi svantaggi dato che è un metodo che lascia tracce (utente, e si vedono i processi aperti dall'utente nel taskmanager... ma non ci fa mai caso nessuno.... difficilmente qualcuno li noterebbe almeno che non li cerca)
cmq in questo modo avrebbe potuto facilmente accedere al telefono nel momento in cui lo collegavi e scaricarsi il database dell'auth di google per poi installarlo sul suo e effettuare il login (a quel punto avrebbe potuto fare anche tutto dal tuo pc mentre tu magari lo stavi usando e praticamente copiando la cartella di chrome/ff/etc sull'altro utente aveva anche tutte le sessioni già aperte... quindi mail già loggata di google che non viene mai sloggata :-P)

cmq è altamente probabile che hai il pc infetto (o il telefono) ... perchè è l'unico modo per riuscire ad avere il 2factor ...

[lucof2000]

Usi lastpass con la yubikey?

[FaSan]

Se hanno preso il controllo del pc tramite rat o malware vari non c'è password che tenga  

Concordo

mi rifiuto di pensare anche per un'attimo che abbiano agito dall'interno , a meno che non abbiano sniffato il traffico prima di entrare in bitstamp, ma e' cosa da poche persone e dotate di mezzi non alla portata di chiunque

Credo che FaSan , potrebbe dire la sua con ottima cognizione di causa sull'argomento
 
J

Stavo giusto leggendo e l' unica cosa che mi viene in mente è che abbiano avuto accesso al cellulare o ad un backup dello stesso. Ma anche in bluetooth in birreria la sera se per caso fosse stato acceso.

Trafugando i file di configurazione del 2FA e della casella email, il resto è un gioco da ragazzi

Oddio tralasciando ovviamente tutto ciò che è sniffing e affini. Troppo complesso e comunque insufficiente per il 2FA. Senza contare che il traffico verso Bitstamp è in SSL, quindi anche sniffando la vedo davvero dura.

LastPass non lo conosco, non mi affiderei mai ad un servizio del genere... ma potrebbe essere stata la chiave di volta.



FaSan

[pof]

Le mie condoglianze.  Avevi pure preso tutte le precauzioni del caso!

[jankko60]

il metodo di crearsi un utente è un metodo che ho usato anch'io ai miei tempi quando facevo il piccolo hacker (tipo 15 anni fa :-P)

Monello.........   

e mi sa che in questo forum non sei stato il solo ....... tralasciando i "vecchi" che bucavano Vax 

J

[Micio]

Potrebbe essere stata una persona a contatto con i tuoi dispositivi o computer?
Oppure, nel peggiore dei casi:
Potrebbe essere stato BitStamp con una mossa ben studiata?

[lucolo]

Io Bitstamp lo escluderei. A farla losca non si sarebbero certo preoccupati di far sparire 24 miseri BTC.

[nutriagrigia]

Se rubano ad un esperto la cosa è veramente triste.
Chiedo una cosa anche se quanto scritto per me è complicato. Non ho neppure un cellulare che possa gestire googleautenticator.
Secondo voi gmail con l'autenticazione mediante invio di sms è sicuro?
Non ho studiato la cosa, mi sembra d'aver letto che invia un sms, se non riconosce lo stesso computer da cui è stato fatto l'ultimo accesso. Credo che non centri nessun controllo dell'ip.
Sempre queste reti anonime tipo tor, ma email e siti che blocchino l'acceso a tali reti a richiesta dell'utente, non esistono?

X Trigun
ho lanciato net user  

Se gli esperti di questo forum riuscissero a dare un nome alle minacce alla nostra sicurezza e quindi anche a dare delle soluzioni, sarebbe veramente utile.
Leggevo su Cryptsy di malavare con keylogger

We have had reports and incidents in the past of malware that is usually disguised as “Miner” software, which in actuality contains a key-logger or a remote access program

Io dico, dire il nome, cosi verifico se il mio antivirus lo risconosce pare brutto...