algunos sabreis del reciente ataque a localbitcoins en el que parece ser que hubo un usuario del foro seccion habla inglesa que habia advertido meses antes de la posibilidad de un ataque de este tipo , y que acabo perpetrando el mismo, para acabar devolviendo la cantidad levantada y denuciar esta vulnerabilidad, sino recuerdo mal.
alguien un poco mas tecnico podria comentar en que consistio el fallo exactamente ?
No perpetro el ataque, aviso de un incidente previo y cuando volvió a ocurrir, el mismo hacker (johoe aqui en bct) estaba vigilando que no apareciesen valores r duplicados, él recupero los fondos antes que alguien mas lo hiciera sin tan buenas intenciones. Que yo sepa devolvió los fondos a Blockchain.info .
El error en sí es complejo, pero su origen es una falta de aleatoriedad (un valor repetido era reutilizado al generar direcciones) y al final se podían obtener las claves privadas de ciertas direcciones con lo cual se podían robar los fondos.
El error fue provocado por un error de programación, en el cual no se inicializaba una variable antes de usarla, un error que se debería haber descubierto en una auditoria del código.
Por otra parte yo siempre he notado que de esta parte podia existir algun tipo de vulnerabilidad, mismo vescudero en alguna de sus magnificas charlas creo recordar recomendaba usar algun tipo particular de software antes del inicio del proceso de generacion de la semilla de una cartera determinista, para de este modo aumentar la entropia real. (mismo keepas lleva un generador de este tipo).
si esto ocurre es porque el proceso de generacion de aleatoriedad es visto con recelo por muchos programadores.
cuan factible es que un fallo de este tipo pueda afectar a algun monedero?, cuales estarian mas afectados simples, deterministas ?
tambien he leido por ahi dserrano que tu habias generado algun monedero tirando dados, tanto te preocupa?
Crear entropia es un problema muy complejo para un ordenador. Por eso muchos wallets te hacen mover el ratón o entrar algún texto antes de generar números aleatorios. Si hay un error en el software que genera esos números o no se consigue suficiente entropia, las claves generadas pueden seguir un patrón y por tanto ser predecibles y por tanto inseguras.
