Сайт Bitcoin покера «Seals With Clubs» взломан, украдено 42 000 паролей

Сайт Bitcoin -покера Seals with Clubs подтвердил, что его база данных была скомпрометирована, хотя он не упомянул, что в процессе потерял 42 020 хэшированных паролей. Хэши были опубликованы на форуме примерно 24 часа назад, и, само собой разумеется, они привлекли множество людей, желающих их взломать.

По какой-то причинеПечати с дубинкамииспользовали хэш-функции SHA1, которые по всем параметрам устарели. Даже последний хэш SHA3 не подходит для паролей, и, похоже, сайт полагался на криптографическую соль, чтобы сделать их более безопасными, гарантируя, что будут использоваться разные хэши, даже если два пользователя выберут один и тот же пароль.

В любом случае, людям не потребовалось много времени, чтобы начать угадывать некоторые пароли, такие как «bitcoin1000000», «sealswithclubs», «88seals88» и «pokerseals». Раскрытые пароли быстро заставили экспертов по безопасности сопоставить все точки и сделать вывод, что пароли принадлежали пользователям Seals with Clubs.

В среду пользователь опубликовал базу данных хэшей на форуме по восстановлению паролей, которым управляет коммерческий сервис взлома паролей InsidePro. Пользователь предложил 20 долларов в биткойнах за каждый набор из тысячи уникальных хэшей. Потребовалось всего девять минут для первого ответа и первого набора из 1000 хэшей. В течение дня было взломано около двух третей списка, сообщаетArs Technica.

К четвергу Seals with Clubs уже контролировала ситуацию, официально признав нарушение и объявив, что она выпустила предупреждение.обязательный сброс пароля. Сообщение на его сайте гласило:

Центр обработки данных, который мы использовали до ноября, допускал несанкционированный доступ к серверу базы данных, и наша база данных, содержащая учетные данные пользователей, вероятно, была скомпрометирована. Пароли были засолены и хэшированы для каждого пользователя, но в целях безопасности каждый пользователь ДОЛЖЕН сменить свой пароль при следующем входе в систему.

Пожалуйста, сделайте это при первой возможности. Если ваш пароль Seals использовался для какой-либо другой цели, вам следует сбросить и эти пароли в качестве меры предосторожности.

На сайте указано, что будут реализованы дополнительные меры безопасности, включая двухфакторную аутентификацию и вход с ограниченного числа IP-адресов.

Однако это не решит другую проблему. Поскольку Seals with Clubs — это сервис, работающий только с биткойнами, каждый владелец аккаунта является пользователем Bitcoin , и есть большая вероятность, что по крайней мере некоторые из них повторно использовали тот же пароль на других сайтах Bitcoin . Другими словами, некоторые пользователи могут использовать тот же самый пароль на своих биржевых счетах или онлайн-кошельках.

Что касается Seals with Clubs, то это относительно небольшой сайт по сравнению с крупными сайтами Texas Hold’em. Небольшая команда игроков в покер, стоящая за сайтом, предпочла остаться анонимной, и сайт, по-видимому, был запущен после их увольнения. Мы надеемся, что игра в покер в рабочее время не имеет к этому никакого отношения.