rubati 24 bitcoin su bitstam. 2FA+password lunga 20 + email di conferma prelievo

[FaSan]

Se rubano ad un esperto la cosa è veramente triste.
Chiedo una cosa anche se quanto scritto per me è complicato. Non ho neppure un cellulare che possa gestire googleautenticator.
Secondo voi gmail con l'autenticazione mediante invio di sms è sicuro?
Non ho studiato la cosa, mi sembra d'aver letto che invia un sms, se non riconosce lo stesso computer da cui è stato fatto l'ultimo accesso. Credo che non centri nessun controllo dell'ip.
Sempre queste reti anonime tipo tor, ma email e siti che blocchino l'acceso a tali reti a richiesta dell'utente, non esistono?

X Trigun
ho lanciato net user  

Se gli esperti di questo forum riuscissero a dare un nome alle minacce alla nostra sicurezza e quindi anche a dare delle soluzioni, sarebbe veramente utile.
Leggevo su Cryptsy di malavare con keylogger

We have had reports and incidents in the past of malware that is usually disguised as “Miner” software, which in actuality contains a key-logger or a remote access program

Io dico, dire il nome, cosi verifico se il mio antivirus lo risconosce pare brutto...

Un computer sicuro è un computer spento. (cit.)

... ed io aggiungerei anche con il cavo elettrico staccato ;-)


e... il più grande rischio per la sicurezza del PC è il tipo che sta seduto davanti al monitor.



FaSan

[1715629065]

1715629065

[gdassori]

Mi dispiace per la tua perdita, spero tu non l'abbia pagati quanto valgono ora.
Una domanda: Sei fra quelli che avevano ricevuto email e blocco dell'account circa 2 settimane fa ?

[painlord2k]

Mai,  mai, mai
usare il dispositivo per il TFA per connettersi al servizio su cui si usa il TFA.

Mai, Mai, Mai
loggare la mail su cui si ricevono le conferme con il dispositivo del TFA

Avere sempre un antivirus attivo

Stare sempre dietro ad un router e mai avere la connessione internet diretta al PC

Forwardare solo le porte che si usano in entrata (tipo eMule, BitTorrent, etc.) e basta.

Non scaricare warez e compagnia bella.

[gdassori]

Non è vero che BitStamp non può essere stato. Può essere stato e come. Immagina che svuotano l'account ogni tanto a persona a caso. Con questo si sono presi 10000€, e se loro lo facessero una volta ogni tanto? Infondo poca gente riesce a prendere la credibilità della gente e pochi vengono considerati. E' un punto di forza a loro favore.

Comunque rimango dell'idea che qualcuno abbia preso possesso dei tuoi dispositivi, sapevano quando non c'eri e dove avevi messo le password, è troppo evidente.

Bitstamp guadagna 6 milioni di dollari l'anno di sole fee.....................

ma per favore.

[barbierir]

Spiacente per la perdita

Da questo caso si può ricavare una lezione:

Google authenticator va installato su un dispositivo separato, un altro smartphone che non sia collegato alla rete e mai usato per accedere alla propria email o ai siti web dove è richiesto 2FA

E devo rimediare anch'io perchè non ci avevo pensato.

Resta da capire come hanno potuto accedere allo smartphone nel caso specifico. Se hanno potuto usare la 2FA l'infezione dev'essere avvenuta da lì e non sul computer, giusto? Che modello è? E' rootato? Hai sempre scaricato app, specialmente relative a bitcoin, solo da playstore o anche da altre fonti? Anche playstore non è 100% sicuro, hai delle app sospette?

[brutale2]

Se gli esperti di questo forum riuscissero a dare un nome alle minacce alla nostra sicurezza e quindi anche a dare delle soluzioni, sarebbe veramente utile.
Leggevo su Cryptsy di malavare con keylogger

I keylogger come dice il nome stesso intercettano tutti gli input da tastiera. Il RAT da me citato (Remote Administration Tool) serve per prendere il pieno controllo del pc in remoto.
Fasan ha ragione (mi pare di capire che sei un esperto di sicurezza informatica?), chi è vicino a questi argomenti sa bene che il computer sicuro è quello che non esiste. Il miglior antivirus è l'utente, gli antivirus riconoscono solo i malware ormai già diffusi (altrimenti secondo quali criteri potrebbero scoprirli?), se vi beccate una 0day (0 giorni, si tratta di falle appena scoperte) non possono aiutarvi neanche loro. Per non parlare dei software che criptano i virus in modo da renderli invisibili.

Possiamo aprire un topic in sticky che spiega come funzionano i vari virus (non un semplice dizionario, ma un vero e proprio vadevecum dove viene spiegato anche come comportarsi in caso di problemi). Che ne dite? Dimostriamo al mondo che la comunità italiana sta avanti  

[braytz]

ci sono talmente tante variabili e sistemi violati che mi fa pensare che a eseguire il tutto sia stato qualcuno vicino a te.

[jcyb9]

ci sono talmente tante variabili e sistemi violati che mi fa pensare [...]

...mi fa pensare che abbiano bucato bitstamp e stiano prelevando un pezzetto alla volta...

[HostFat]

Potresti mettere giù una lista delle app dedicate a Bitcoin che avevi sul telefono?

[Trigun]

il metodo di crearsi un utente è un metodo che ho usato anch'io ai miei tempi quando facevo il piccolo hacker (tipo 15 anni fa :-P)

Monello.........  

e mi sa che in questo forum non sei stato il solo ....... tralasciando i "vecchi" che bucavano Vax  

J

beh era il periodo in cui c'erano tutti i forum warez e era solito bucare i pc per installarci il demone ftp dove caricare la roba ^_^
poi avevo tipo 13-14 anni... mi divertivo pure :-)
tra l'altro ero pure una brava persona... una volta che gli bucavo il pc patchavo anche il bug in modo da non poterlo + riusare :-) (che poi lasciavo una backdoor è un dettaglio :-P)

X Trigun
ho lanciato net user  

suppongo che non hai trovato nulla di strano

Potresti mettere giù una lista delle app dedicate a Bitcoin che avevi sul telefono?

c'e' sempre da considerare che se il telefono non è rootato puoi mettere qualsiasi app nel programma ma sicuramente non possono accedere ai dati di altri programmi....
quindi boh

[ibinsad]

ci sono talmente tante variabili e sistemi violati che mi fa pensare che a eseguire il tutto sia stato qualcuno vicino a te.

mi sembra pure a me.

Anche se mi sembra che sia già successo in passato.

A me è capitato invece per ben 2 volte che hanno fatto transazioni fraudolente con la mia carta di credito nonostante stia attento, per fortuna in questi casi dopo la denuncia i soldi non ti vengono scalati.



La massima sicurezza quale sarebbe quindi ?

- Tenere meno bitcoin o fiat possibili sugli exchangers
- Loggarsi agli exchangers con un computer separato dedicato possibilmente con un SO Linux pulito e utilizzare ubikey,riconoscimento facciale e BioMouse (se conoscete altro postate)
- Avere un cellulare dedicato a collegarsi per il 2FA, non all'interno della stessa rete wifi ma usando la rete mobile
- Avere un cellulare dedicato a collegarsi per la conferma della transazione, non all'interno della stessa rete wifi ma usando la rete mobile, per assurdo anche con un operatore telefonico diverso
- Avere un cellulare dedicato a generare password nuove ogni volta che si accede, non all'interno della stessa rete wifi ma usando la rete mobile, per assurdo anche con un operatore telefonico diverso

finite le transazioni chiudere tutto in diverse cassaforti.

si può fare di meglio ?

[Stemby]

Le mie condoglianze.   Avevi pure preso tutte le precauzioni del caso!

Tranne effettivamente la più importante: mai lasciare simili cifre su un exchange.

Spiace moltissimo anche a me. Invito a sporgere querela presso la polizia postale al più presto.

- Tenere meno bitcoin o fiat possibili sugli exchangers
- Loggarsi agli exchangers con un computer separato dedicato possibilmente con un SO Linux pulito e utilizzare ubikey,riconoscimento facciale e BioMouse (se conoscete altro postate)
- Avere un cellulare dedicato a collegarsi per il 2FA, non all'interno della stessa rete wifi ma usando la rete mobile
- Avere un cellulare dedicato a collegarsi per la conferma della transazione, non all'interno della stessa rete wifi ma usando la rete mobile, per assurdo anche con un operatore telefonico diverso
- Avere un cellulare dedicato a generare password nuove ogni volta che si accede, non all'interno della stessa rete wifi ma usando la rete mobile, per assurdo anche con un operatore telefonico diverso

finite le transazioni chiudere tutto in diverse cassaforti.

si può fare di meglio ?

Bisogna sempre valutare se ne valga la pena. Se uno dovesse effettuare giornalmente transazioni presso gli exchange per cifre quali quelle rubate in questo caso, probabilmente sì; ma per utenti "normali" che movimentano il corrispettivo di poche centinaia di euro, a mio avviso anche precauzioni più banali potrebbero essere considerate sufficienti.

Comunque sarebbe molto utile per tutti se si riuscisse a capire in dettaglio cosa sia effettivamente avvenuto.

Ciao!

[gdassori]

Non ho gli estremi per dire se sbaglio o meno (non avendo mai provato personalmente), e non so se Bitstamp abbia preso misure di sicurezza in merito ma....

Un semplice 2FA Bruteforce ?

Magari il tuo device mobile non era compromesso, ma il tuo computer sì. Avendo già due dati su 3 (ID e password) sarebbe stato possibile effettuare un bruteforce del 2FA "al contrario".

Ciò che intendo dire è che stiamo parlando di 6 cifre, provare a fare login a nastro sempre con lo stesso codice (e con un bot che lo fa è possibile anche fare svariati tentativi al secondo) potrebbe essere stata un'opzione, e potrebbe essere il motivo per cui Bitstamp ha implementato il 2FA anche sui withdrawal, di recente.

Ora, ripeto, non ho gli estremi per dire se mi sbaglio o meno, magari dopo 10-15 tentativi andati a vuoto Bitstamp semplicemente blocca l'account in automatico. Se l'audit e il conseguente blocco invece dovessero invece essere manuali, potrebbe essere intercorso un tempo ragionevolmente lungo che abbia permesso all'attacker di violare il tuo account e ripulirlo.

[Teppino]

Mi dispiace davvero per la tua perdita.
La rom del telefonino era originale o un mod tipo cyanogen?
Puoi dirci marca e modello del telefono? A volte i costruttori, in buona fede, apportano modifiche a kernel ed applicativi e nel farlo introducono potenziali buchi di sicurezza, avere certe informazioni potrebbe esser utile se non altro a chi ha lo stesso modello

[jcyb9]

A me è capitato invece per ben 2 volte che hanno fatto transazioni fraudolente con la mia carta di credito nonostante stia attento, per fortuna in questi casi dopo la denuncia i soldi non ti vengono scalati.

Rubano interi database di dati di carte di credito. A un utilizzo fraudolento di una mia carta tempo fa ho collegato la notizia di un furto di DB avvenuto poco prima.

[angrynerd88]

mi spiace molto per la tua perdita, peraltro notevole. Mi chiedo come sia possibile, soprattutto Co  i 2 fattori di autenticazione. Potrebbe significare che non esiste alcun hacker ma il ladro è dentro bitstamp ..... assurdo ma la spiegazione più probabile. Piuttosto che un hackercche ha accesso al stesso tempo a PC e smartphone... se questo fosse vero siamo tutti ad altissimo rischio. Io per fortuna ho i prelievi di btc disattivati. Puoi postare l indirizzo che te li ha Rubati?

[robydelo]

C'e' anche questa da tener presente :

http://www.ehackingnews.com/2014/03/bitstamp-hacked-users-are-receiving.html

[braytz]

Un semplice 2FA Bruteforce ?

Ciò che intendo dire è che stiamo parlando di 6 cifre, provare a fare login a nastro sempre con lo stesso codice (e con un bot che lo fa è possibile anche fare svariati tentativi al secondo) potrebbe essere stata un'opzione, e potrebbe essere il motivo per cui Bitstamp ha implementato il 2FA anche sui withdrawal, di recente.

ma il codice 2FA cambia ogni tot di tempo.

bisogna provare tutti i codici possibili entro questo lasso di tempo,oppure si va a vuoto.non so se sia fattibile però.

[ibinsad]

http://www.ehackingnews.com/2014/03/hackers-compromise-300000-soho-routers.html

una simile manipolazione potrebbe c'entrare qualcosa ?

Aggiungo anche..
http://www.tomshw.it/cont/news/google-rivede-l-autenticazione-in-due-step-era-vulnerabile/43450/1.html

[barbierir]

Non c'è nessuna ragione di ipotizzare bruteforce di 2FA, se qualcuno è entrato nel suo smartphone si speiga tutto perchè poteva usare la sua email e google auth. Mi piacerebbe solo sapere come è stato compromesso il suo smartphone.

E poi ribadisco la lezione che ho scritto prima: google auth va installato su un dispositivo diverso, un cell scasso va benissimo