Blockchain.info повертає кошти жертвам крадіжки Bitcoin

У Bitcoin -гаманці було виявлено ще одну помилку, яка призвела до крадіжки близько 50 біткойнів. Цього разу винен веб-гаманець Blockchain.info, і тепер компанія пропонує відшкодування користувачам, які втратили біткойни через недолік.

Популярний веб-сайт Blockchain насамперед пропонує ринкові дані та служить основним дослідником ланцюга блоків для валюти Bitcoin . Однак користувачі також можуть створювати веб-гаманці для надсилання та отримання біткойнів. Помилка полягає в генераторі випадкових чисел, який веб-гаманець використовує для підписання Bitcoin транзакцій. Випадкові числа генеруються у веб-браузерах за допомогою мови програмування JavaScript. Це було виявлено в понеділок, коли користувач Bitcoin повідомили що у нього вкрали 1,8 BTC (близько 223 доларів США).

«Кошти з інших адрес у цьому гаманці не постраждали. Це наводить мене на думку, що Blockchain.info або Firefox можуть мати деякі слабкі місця в генераторі випадкових чисел, наприклад уразливість нещодавно була знайдена в Android», — сказав він.

Ця помилка є слідом за іншим недоліком генератора випадкових змін знайдено в операційній системі Android на початку цього місяця. Цей недолік вплинув на генерацію закритих ключів для Bitcoin адрес. Повторення випадкових чисел дозволило зловмисникам визначити приватні ключі гаманців користувачів, що, у свою чергу, дозволило їм отримати право власності на адреси Bitcoin , пов’язані з цими ключами.

Кілька клієнтів Android постраждали від цієї вади (включно з клієнтом Blockchain.info, для якого було випущено патч). Але ця остання помилка вплинула на клієнт браузера Blockchain.info, його розширення Chrome і Firefox, а також його програму Mac OSX.

На відміну від помилки Android, ця вада вплинула лише на підписання транзакцій, а не на створення закритих ключів, підтверджено Бен Рівз (він же Піук) із Blockchain на форумі Bitcointalk. Він додав, що Firefox був особливо вразливий до поганого заповнення свого генератора випадкових чисел.

«На відміну від проблеми з Android, RNG [генератор випадкових чисел], який використовувався для генерації приватних ключів, не постраждав, тому гаманці не потрібно переключати», — сказав Рівз CoinDesk. «Поки ваш клієнт буде в курсі майбутніх транзакцій, ви не ризикуватимете».

Зараз Blockchain.info виправив помилку. Користувачі повинні переконатися, що вони використовують такі номери версій клієнта:

• Розширення Chrome - v2.85
• Розширення Firefox - v1.97
• Mac клієнт - v0.11

Крім того, ті, хто просто використовує веб-гаманець (без плагіна), повинні очистити кеш браузера перед використанням веб-сайту Blockchain.

Інший користувач форуму повідомив учасників форуму, що проживають у США, що існує можливість правового захисту через федеральні закони проти кримінального шахрайства.

Коли його запитали про особу зловмисника (зловмисників), Рівз підтвердив, що зловмисник є фізичною особою і що всі викрадені кошти були надіслані на таку адресу: 1HKywxiL4JziqXrzLKhmB6a74ma6kxbSDj.

Важливо, що кошти, перераховані на цей рахунок, також включають кошти, отримані від користувачів Android на початку цього місяця, що свідчить про те, що за крадіжкою біткойнів з використанням обох помилок могла стояти та сама особа.

Для тих, хто хоче повернути втрачені кошти, Рівз сказав нам: «Якщо хтось думає, що в нього вкрали кошти, якщо це сталося через цю помилку, дуже ймовірно, що монети будуть надіслані на вказану вище адресу. Якщо є сумніви, вони можуть зв’язатися help@blockchain.infoі я буду досліджувати далі. Наразі повернуто лише пару BTC ».

Рівз натякнув на проблиск надії на втрачені кошти: «Це залежить від намірів [зловмисника], але все ще існує ймовірність, що вони можуть повернути кошти». Але переважаюче повідомлення: T розраховуйте на це.

Представник Blockchain.info сказав, що Рівз випустив (вищезгадані) виправлення протягом кількох годин після виявлення недоліку, і додав: «Це справді дивовижний час виконання».

Список адрес, на які вплинули помилки генератора випадкових чисел як на Blockchain, так і на Android опубліковано на форумі Bitcoin, а також оновлено новими знахідками. Він сказав нам: «Якщо хтось вважає, що його гроші були вкрадені через цей експлойт, він повинен перевірити, чи є його Bitcoin адреса в списку. Якщо так, Контакти за адресою:https://blockchain.info/support-desk. Якщо T, то ви не стали жертвою цього подвигу».

Ви втратили біткойни? Вам повернули гроші? Дайте нам знати в коментарях.