Rede Liquid do Bitcoin hackeada em 4000 BITCOINS

[TryNinja]

Mas, será que eles prometeram realmente alguma coisa para o hacker? Hummm, acho estranho...

Para mim o hacker, tentou uma jogada para tentar obter dinheiro limpo. Apos o roubo, ele sabia que esses 4000BTC iriam ficar monitorizados para o resto da vida, e seria muito difícil ele conseguir limpar. Talvez nem 5% conseguia limpar sem dar nas vistas.

Então, rouba, dá um ar de bonzinho e devolve 85%. De pois diz, que pode devolver os outros 15%, se a empresa que sofreu o ataque, enviar 10% do valor roubado. Se isso funciona-se, o hacker ficavam com 400BTC totalmente legais e limpos, porque no final era como fosse o pagamento por ele ter descoberto um bug.

Se a Blockstream aceitar esse esquema, pode abrir precedentes para futuros ataques, contra eles ou outros do setor.

Notam, roubar 4k BTC dificilmente um hacker vai conseguir beneficiar minimamente desse roubo, porque hoje em dia os sistemas de monitorização estão cada vez mais eficazes. Podem prejudicar quem roubaram, mas também não tiram grandes proveitos, além do ego de o terem feito.

Sem nem o cara que roubo 1k do Coldcard consegue se livrar das moedas, imaginem 4k.

Ceder, seria aprovar esta estratégia de roubar e obter moedas "limpas".

Com certeza o hacker está se arrependendo de ter devolvido 85%. Se for pra ficar com 15% e marcado para a vida, era melhor ter pego logo o pote inteiro.

Foi ser "legal" e se ferrou. Agora aceita os 15% sujos e o FBI atrás dele, ou devolve tudo e segue sua vida pacata, mas sem medo da policia bater na porta.

[joker_josue]

O precedente ja esta aberto.
Toda empresa,  exchnage etc deveria ter um bug bounty aberto ANTES de ser hackeada.

Empresa que nao tem bug bounty esta sujeita a isso. Alguem roubar e dizer seu preco.

Olha  coinbase: 5 milhões de bug bounty
https://www.coinbase.com/pt-br/blog/Consumer-protection-tuesday-Coinbase-launches-a-new-5M-bug-bounty-program

Pode até ter esse premio, mas esse premio é para dar quando o bug é descoberto e comunicado a empresa, sem ser explorado ou tornado publico.

Mesmo não tendo, esse premio, será que o hacker comunicou que sabia de um bug antes de retirar o BTC? Parece que não.

Uma coisa é eu dizer que você tem uma falha no site e pedir um premio por isso, outra é ir lá roubar e depois dizer que devolve se você me pagar. Isso é chantagem, e mesmo que a empresa tenha bug bounty nunca irá pagar nesse cenário.

Podemos dizer que como não tem bug bounty, o hacker quis primeiro provar que sabia do bug. Sim, podia ter feito isso e só retirar 1BTC. Mas, não, ele tirou 4000x mais.

Por isso, para mim, esse não é nenhum white hacker. É um hacker que elaborou um esquema para explorar um bug e obter dinheiro limpo.

[sabotag3x]

O precedente ja esta aberto.
Toda empresa,  exchnage etc deveria ter um bug bounty aberto ANTES de ser hackeada.

Empresa que nao tem bug bounty esta sujeita a isso. Alguem roubar e dizer seu preco.

Olha  coinbase: 5 milhões de bug bounty
https://www.coinbase.com/pt-br/blog/Consumer-protection-tuesday-Coinbase-launches-a-new-5M-bug-bounty-program

Sim, é uma prática para incentivar esse trabalho.. ninguém vai ficar testando código de graça..

O cara também trocou os pés pelas mãos.. deveria primeiro ter negociado, depois enviado o dinheiro vamos ver se algum dia liberaram aquelas conversas fechadas.

O Bitcointalk também tem um programa: https://bitcointalk.org/sbounties.php

Queria saber se alguém já rodou uma dessas IAs recentes para verificar a segurança do fórum.

esse não é nenhum white hacker. É um hacker que elaborou um esquema para explorar um bug e obter dinheiro limpo.

Estão chamando ele de grey hat.. um meio termo acho que a definição cai bem.

[mikel_012]

Pode até ter esse premio, mas esse premio é para dar quando o bug é descoberto e comunicado a empresa, sem ser explorado ou tornado publico.

Mesmo não tendo, esse premio, será que o hacker comunicou que sabia de um bug antes de retirar o BTC? Parece que não.

Uma coisa é eu dizer que você tem uma falha no site e pedir um premio por isso, outra é ir lá roubar e depois dizer que devolve se você me pagar. Isso é chantagem, e mesmo que a empresa tenha bug bounty nunca irá pagar nesse cenário.

Podemos dizer que como não tem bug bounty, o hacker quis primeiro provar que sabia do bug. Sim, podia ter feito isso e só retirar 1BTC. Mas, não, ele tirou 4000x mais.

Por isso, para mim, esse não é nenhum white hacker. É um hacker que elaborou um esquema para explorar um bug e obter dinheiro limpo.

Por salvar $300 milhões eles iam dar a recompensa de no máximo $1 milhão e olhe lá

Por isso o hacker deve ter roubado tudo para aumentar a chance de um pagamento muito maior, mas o tiro saiu pela culatra

Mas o dinheiro é dos clientes e por isso não é justo julgar que $300 milhões precisam de um pagamento de $30 milhões pois esse dinheiro é dos clientes e não da empresa que teve a falha descoberta.

[joker_josue]

Por salvar $300 milhões eles iam dar a recompensa de no máximo $1 milhão e olhe lá

Achas pouco?

Se o hacker disse-se que devolvia tudo se eles pagassem 100 milhões? E se disse-se que tinha de receber 305?
Enfim, não é uma questão de julgar ou não julgar.

Estas empresas mexem com milhões, mas não significa propriamente quem tem milhões na sua caixa.

Um hacker descobre uma falha que pode obter muito dinheiro roubado, ele tem duas opções:
- Informa a empresa, e negoceia um premio por descobrir a falha
- Rouba e segue para outro ataque

Ao que parece ele não esta a negociar, esta a chantagear: eu quero isto e pronto.

Isto é o mesmo que os ataques ransomware, em que o hacker bloqueia o computador/servidor da vitima, e diz que só devolve se pagar xBTC.
Todos os especialistas, dizem que isso nunca deve ser pago qualquer valor. Primeiro porque não garante que vai mesmo recuperar. Segundo, porque esta alimentar um esquema de fraude.

A partir do momento que entras neste tipo de cedência, passa a ser um alvo dos hackers, porque todos vão querer aproveitar essa "fragilidade".


Vamos por as coisas noutra perspectiva. Ele esta a pedir 400BTC (10%), para devolver os 600BTC (15%) dos clientes.
Imaginemos que a Blockstream tem 600BTC seus.

O que impede a Blockstream de devolver esses 600BTC diretamente aos clientes, e deixar o hacker com 400BTC sujas que não consegue usar?

Podem dizer que assim a Blockstream fica a perder 600BTC. Sim, pode ficar, mas na realidade só perde 200BTC, porque 400BTC iriam para o hacker. Pode assumir que esse valor é o tal "bug bounty".

O que acham que a empresa prefere? Dar aos clientes o dinheiro ou a um hacker? 

[Pumared]

Se eu fosse a empresa, eu já teria negociado o que fosse com esses caras. Primeiro que "um" hacker qualquer invade o sistema deles rouba tudo e ainda diz que vai devolver. Só isso já é diferente de 100% dos ataques que ocorreram em criptos. O hacker dá uma chance dos caras salvarem a própria reputação e o sistema deles mas mesmo assim a empresa diz que são ladrões. Nessa história o hacker vai lavar os BTCs e a empresa e os executivos vão ficar marcados pra sempre por serem ineficientes.

Mesmo que ele devolva tudo que "roubou" a empresa vai ter que fazer um rebranding absurdo que pode custar muito mais do que 400 BTCs. Era pra essa empresa ta fazendo um marketing absurdo sobre esse caso, vendendo que eles erraram mas que estão fazendo de tudo para recuperar, corrigir os erros e conversando não com um hacker mal, mas com um hacker que encontrou uma falha e está devolvendo tudo. Depois abria um bug bounty generoso e isso se tornava aguas passadas.

Mas se eles preferem o caminho difícil, que fiquem manchados por esse episodio pra sempre.

[TryNinja]

Por salvar $300 milhões eles iam dar a recompensa de no máximo $1 milhão e olhe lá

Achas pouco?

Se o hacker disse-se que devolvia tudo se eles pagassem 100 milhões? E se disse-se que tinha de receber 305?
Enfim, não é uma questão de julgar ou não julgar.

Estas empresas mexem com milhões, mas não significa propriamente quem tem milhões na sua caixa.

Um hacker descobre uma falha que pode obter muito dinheiro roubado, ele tem duas opções:
- Informa a empresa, e negoceia um premio por descobrir a falha
- Rouba e segue para outro ataque

Ao que parece ele não esta a negociar, esta a chantagear: eu quero isto e pronto.

Isto é o mesmo que os ataques ransomware, em que o hacker bloqueia o computador/servidor da vitima, e diz que só devolve se pagar xBTC.
Todos os especialistas, dizem que isso nunca deve ser pago qualquer valor. Primeiro porque não garante que vai mesmo recuperar. Segundo, porque esta alimentar um esquema de fraude.

A partir do momento que entras neste tipo de cedência, passa a ser um alvo dos hackers, porque todos vão querer aproveitar essa "fragilidade".

Olha, a questão é a boa fé. Não adianta achar e devolver uma carteira que estava na rua e pedir 80% do que estava lá. Mas muitos poderiam pedir 10% e acho que até o dono poderia achar justo

O hacker pediu 15%, o que foi até um pouco mais do que os 10% característicos, e eu acho que seria um valor justo pela gravidade do ataque

Não vejo exatamente como ransomware e sim como ganancia da Blockstream. Só no mundo crypto tem bilhões de dolares sendo protegidos por codigo mal feito e bug bounties pobres que não incentivam hackers a encontrar e reportarem falhas

[sabotag3x]

Olha, a questão é a boa fé. Não adianta achar e devolver uma carteira que estava na rua e pedir 80% do que estava lá. Mas muitos poderiam pedir 10% e acho que até o dono poderia achar justo

O hacker pediu 15%, o que foi até um pouco mais do que os 10% característicos, e eu acho que seria um valor justo pela gravidade do ataque

Não vejo exatamente como ransomware e sim como ganancia da Blockstream. Só no mundo crypto tem bilhões de dolares sendo protegidos por codigo mal feito e bug bounties pobres que não incentivam hackers a encontrar e reportarem falhas

Quanto será que a Blockstream pagaria se ele devolvesse tudo e não pedisse nada? 5%? nada?

[joker_josue]

O hacker pediu 15%, o que foi até um pouco mais do que os 10% característicos, e eu acho que seria um valor justo pela gravidade do ataque

Não vejo exatamente como ransomware e sim como ganancia da Blockstream. Só no mundo crypto tem bilhões de dolares sendo protegidos por codigo mal feito e bug bounties pobres que não incentivam hackers a encontrar e reportarem falhas

Não digo que não seja um valor justo.
Mas, também não acho que seja ganancia.

Acho que o perigo de abrir precedentes.

Isto era um mesmo de um tipo roubar um banco e depois dizer que devolve tudo se ficar com 10% do que o banco tinha, e poder-se ir embora sem problemas com a justiça. Agencia do banco, podia ter falhas na segurança e sistemas inadequados. Mas, isso não torna legitimo o assalto.

O ponto é este. Uma coisa é haver uma negociação, outra é uma imposição.

De resto, concordo que existe muito código mal feito, e pouco cuidado, principalmente nesses serviços que lidam com milhões.

Quanto será que a Blockstream pagaria se ele devolvesse tudo e não pedisse nada? 5%? nada?

A pergunta seria: se ele não roubasse nada e tivesse informado da falha, quanto receberia?
Roubar e depois pedir um resgate, não o torna herói. Herói era dizer: "eu conheço uma falha que permite roubar milhões". Depois se a empresa ignora-se, apos ele mostrar provas, ai sim, a empresa estaria agir mal.

Pelo o que eu percebi, ele simplesmente roubo, e depois disse que devolvia x e devolvia o resto se recebe y. No final a empresa pouco ou nada teve voto na matéria, foi tudo inciativa do hacker.
Roubo, disse o que devolvia, o que queria receber. Zero negociação.

[TryNinja]

Quanto será que a Blockstream pagaria se ele devolvesse tudo e não pedisse nada? 5%? nada?

16 milhões? Acho que não, hein…

Chuto no MAXIMO $1m (melhor caso).

Sendo realista, chuto $100k

Sim… muitos já pagaram por ai em bug bounties que seriam devastadores (perda de centenas de milhões).

Melhor tentar o gray hack mesmo.

[alegotardo]

Tabom que 10% é muito, mas isso não se faz se quer que outros white hackers apareçam. É melhor roubar e ficar com milhões do que recuperar na amizade e ficar sem nada

Pois é, e a[i eu vejo dois problemas....
Primeiro de que toda e qualquer empresa deveria ter um programa de bug-bounty, para que quando casos assim apareçam não seja o hacker que precisa fazer o seu valor, a empresa simplesmente alega que os termos são X e Y e que só vão pagar o que estão neles, mas da forma como está eles realmente ficam refém do que o hacker está pedindo, seja na boa ou má intenção.

Segundo... e se o hacker tiver uma segunda carta na manga? E se após a falha nas negociações ele fizer outro ataque e ficar novamente com 100% dos fundos?
Claro que seria catastrófico e muito improvável, mas  se eles conseguiram um vez, porque não conseguir novamente?

Enfim... difícil dizer quem está certo, é mais fácil julgar que os dois possuem uma parcela de culpa nisso tudo.

[sabotag3x]

A pergunta seria: se ele não roubasse nada e tivesse informado da falha, quanto receberia?
Roubar e depois pedir um resgate, não o torna herói. Herói era dizer: "eu conheço uma falha que permite roubar milhões". Depois se a empresa ignora-se, apos ele mostrar provas, ai sim, a empresa estaria agir mal.

Pelo o que eu percebi, ele simplesmente roubo, e depois disse que devolvia x e devolvia o resto se recebe y. No final a empresa pouco ou nada teve voto na matéria, foi tudo inciativa do hacker.
Roubo, disse o que devolvia, o que queria receber. Zero negociação.

Eu acho que mover as moedas é essêncial.. afinal, isso previne que outra pessoa faça isso.

16 milhões? Acho que não, hein…

Chuto no MAXIMO $1m (melhor caso).

Sendo realista, chuto $100k

Sim… muitos já pagaram por ai em bug bounties que seriam devastadores (perda de centenas de milhões).

Melhor tentar o gray hack mesmo.

Verdade, a maioria dessas recompensas são valores fixos..

Segundo... e se o hacker tiver uma segunda carta na manga? E se após a falha nas negociações ele fizer outro ataque e ficar novamente com 100% dos fundos?
Claro que seria catastrófico e muito improvável, mas  se eles conseguiram um vez, porque não conseguir novamente?

O próprio hacker falou que só devolveria os fundos após eles corrigirem o bug.. e eles dizem ter corrigido.. a não ser que tenha outros..

Acho difícil, mas seria um bom roteiro para filme.

[joker_josue]

Eu acho que mover as moedas é essêncial.. afinal, isso previne que outra pessoa faça isso.

Sim, neste tipo de casos, até faz sentido.

Acho que o problema é o que veem a seguir. Qual foi a postura do hacker. Foi só "corrigem o erro e eu devolvo" e depois entrou em negociações, ou se depois começou a fazer chantagem para obter o dinheiro que queria.

Porque temos de ser realistas, 400BTC é um premio muito alto. Não conheço nenhum bug bounties com o premio tão alto.

Pedia a nossa amiga IA, para indicar os que tem maiores prêmios:


Talvez os 5% do que roubo, ainda fosse aceitável, porque é o top máximo que se tem vindo a praticar no sector.
O hacker esta a pedir 2x mais.

Quer ficar para a historia. O ego comum dos hackers a falar mais alto. 

[Pumared]

Eu acho que mover as moedas é essêncial.. afinal, isso previne que outra pessoa faça isso.

Sim, neste tipo de casos, até faz sentido.

Acho que o problema é o que veem a seguir. Qual foi a postura do hacker. Foi só "corrigem o erro e eu devolvo" e depois entrou em negociações, ou se depois começou a fazer chantagem para obter o dinheiro que queria.

Porque temos de ser realistas, 400BTC é um premio muito alto. Não conheço nenhum bug bounties com o premio tão alto.

Pedia a nossa amiga IA, para indicar os que tem maiores prêmios:

Talvez os 5% do que roubo, ainda fosse aceitável, porque é o top máximo que se tem vindo a praticar no sector.
O hacker esta a pedir 2x mais.

Quer ficar para a historia. O ego comum dos hackers a falar mais alto.  

É preciso considerar que é um erro que colocou em risco 4000 BTC e que literalmente é uma situação de colocar a empresa em falência caso não fosse devolvido. Então, na minha visão, é algo totalmente diferente do que é praticado em Bounty comum. Quantas empresas conseguem ir a falência apenas por um erro? Quanto valeria um erro que faz com que todo o saldo guardado em um banco seja retirado por um hacker?

[sabotag3x]

Acredito que a Blockstream ainda não postou um post mortem.. mas parece que a falha foi introduzido por uma IA ao consertar outra menor

Aqui tem uma explicação:

O bug foi introduzido por uma correção de segurança em 3 de agosto. O problema era óbvio: pedi para uma IA fazer uma revisão de código dessa correção e ela encontrou o exploit em 3 minutos. É claro que isso pode ter acontecido porque a IA já havia absorvido essas informações da web, mas, quando pedi à IA por exploits semelhantes, ela listou apenas 7 exploits semelhantes nos últimos 20 anos. Acredito que eu mesmo teria conseguido identificar esse bug, mas é difícil afirmar isso olhando em retrospectiva.

A correção de segurança de agosto foi introduzida silenciosamente e provavelmente apenas um pequeno grupo estava revisando o código em segredo. Ironicamente, o bug que ela corrigia era muito menos crítico do que o bug que introduziu. Antes, o pior que um atacante poderia fazer era causar uma divisão de consenso (os validadores aceitariam uma transação inválida, mas em sua maior parte inofensiva). Devido à falha na correção, o atacante poderia criar uma transação inválida que gastasse 0,1 BTC, enviando -4.000 BTC para um OP_RETURN e 4.000,1 BTC para si mesmo como troco.

Isso cria um dilema de segurança. Quanto mais pessoas revisam as mudanças no código, maior a chance de encontrar bugs introduzidos pela própria mudança. Mas, se a mudança de código em si for uma correção de segurança, você não quer que muitas pessoas tenham acesso ao código e provavelmente também não deveria permitir que uma IA comercial revise as alterações.

Esse cara ai em cima é um pesquisador de segurança, não trabalha no projeto.

Mas o Adam Back falou brevemente sobre isso na semana passada:

na verdade, o bug que interagiu de forma problemática com outro problema que anteriormente não era crítico foi introduzido por causa de uma correção incorreta de um bug encontrado por uma IA, que também não era crítico. então, sim, temos um longo histórico de colaboração aberta e processo de revisão.

Que loucura.. botaram a IA para corrigir uma falha e ela fudeu com o código

[bitmover]

Que loucura.. botaram a IA para corrigir uma falha e ela fudeu com o código

Ta ai um mal uso da IA 

Esses dias ouvi uma ótima entrevista com o criador da Ruby on Rails , o DHH. Ele é um programador mundialmente conhecido e estava falando sobre programação com IA. Ele disse que quase nao escreve mais código.
Isso chegou pra ficar mesmo, mas tem que saber usar.

https://www.youtube.com/watch?v=NYFGCESmikA

[mikel_012]

É preciso considerar que é um erro que colocou em risco 4000 BTC e que literalmente é uma situação de colocar a empresa em falência caso não fosse devolvido. Então, na minha visão, é algo totalmente diferente do que é praticado em Bounty comum. Quantas empresas conseguem ir a falência apenas por um erro? Quanto valeria um erro que faz com que todo o saldo guardado em um banco seja retirado por um hacker?

Isso é mesmo

Uma falha grave causa vazamentos de dados mas a empresa ainda funciona e mantém o dinheiro, esse hack é como se roubassem todo o saldo do banco do paypal e todos os clientes que tem dinheiro ficassem com $0 sem chance de recuperar a menos que a empresa gaste milhões

Ta ai um mal uso da IA 

Esses dias ouvi uma ótima entrevista com o criador da Ruby on Rails , o DHH. Ele é um programador mundialmente conhecido e estava falando sobre programação com IA. Ele disse que quase nao escreve mais código.
Isso chegou pra ficar mesmo, mas tem que saber usar.

https://www.youtube.com/watch?v=NYFGCESmikA

Eu acho que quem sabe programar e usa IA vai ter muito sucesso, mas o problema é não saber nada e usar IA sem entender se tem falhas no código e sem entender o que está sendo escrito

Eu estou estudando para usar IA, não vou fazer sem entender um pouco do assunto pois tenho essa preocupação de segurança

[alegotardo]

Esses dias ouvi uma ótima entrevista com o criador da Ruby on Rails , o DHH. Ele é um programador mundialmente conhecido e estava falando sobre programação com IA. Ele disse que quase nao escreve mais código.
Isso chegou pra ficar mesmo, mas tem que saber usar.

Sim!!!
Te falo por experiência própria, na minha empresa já estamos usando uma IA na intranet para auxiliar na programação à mais de um mês e tem ajudado "pacacete"....
Por mais que você tenha um código bem estruturado, orientado À objetos, com reuso e padrões de projetos bem definidos, sempre tem muito serviço braçal que a IA ajuda demais.
Ela também é otima para criar casos de testes, validações de novas implementações, análises de métodos desconhecidos (feitos por outros devs e sem documentação )... é outro mundo.

Mas.... é "nada raro" você pedir pra ela fazer ABC e derrepente ela faz ABCD mesmo tu tendo dito anteriormente pra não fazer isso.... ela tem vida própria! Tem que olhar tudo oque ela escreve e dev preguiçoso não faz isso, o importante as vezes é ver aquilo que foi pedido funcionando... o resultado só um bom dev sabe qual pode ser.

[pandakitty]

O white hacker se tornou black hacker? Ainda não devolveu 598 BTC ($45m)

https://mempool.space/address/bc1ql4mfu6aundtkksxklfajs2h3t9nzcd6gyqjlte

[joker_josue]

O white hacker se tornou black hacker? Ainda não devolveu 598 BTC ($45m)

https://mempool.space/address/bc1ql4mfu6aundtkksxklfajs2h3t9nzcd6gyqjlte

Então, esses são os tais 15% que ele disse que só devolvia se recebe-se 400BTC de premio por ter descoberto o bug.