Tydzień później: aktualizacja hackowania CoinCheck

26 stycznia to dzień, w którym CoinCheck, najskuteczniejsza japońska giełda kryptowalut, publicznie poinformowała, że ​​została zhakowana. Wkrótce po udostępnieniu informacji, że Ripple i XEM zostały skradzione, ten pierwszy został odrzucony, ponieważ pojawiły się dodatkowe informacje, że tokeny Ripple zostały wyjęte z wymiany jako środek ostrożności.

To jest kontynuacja poprzedniego artykułu i sugerujemy przeczytanie go najpierw, jeśli po raz pierwszy słyszysz o kradzieży.

W chwili pisania tego tekstu na oficjalnej stronie giełdy kryptowalut znajdują się przeprosiny dla wszystkich swoich klientów, innych giełd i wszystkich, których dotyczy włamanie. Nie przepraszamy za błędy w zabezpieczeniach, o których będzie można przeczytać poniżej.

Błąd w sztuce bezpieczeństwa

przeprosiny za kontrolę monetTo jest przepraszająca wiadomość, którą możesz znaleźć na oficjalnej stronie CoinCheck w momencie pisania.

Okazało się, że słynna giełda nie zastosowała żadnego z przemyślanych rozwiązań bezpieczeństwa, które są unikalne dla kryptowalut. W szczególności mówimy o kontach z wieloma podpisami i zimnych portfelach.

Nie wdrożyli żadnego z nich, ale każdy z nich mógł zapobiec tej katastrofie. Chcemy tylko przypomnieć, że kryptowaluta o wartości ponad 500 milionów dolarów (w tamtym czasie) została skradziona z ich kont z powodu braku uznania odpowiedniej metodologii bezpieczeństwa.

Swoim brakiem przewidywania i zdolności do właściwej ochrony siebie i swoich klientów zagrozili swojej pozycji na japońskich rynkach i spowodowali znaczne szkody w życiu wielu osób..

Skradziony XEM

Jedyny sposób, w jaki haker może to zrobićJednym ze sposobów na „wypranie” tokenów XEM przez hakera byłoby wygenerowanie tysięcy papierowych portfeli zawierających ułamek skradzionej kwoty i wtopienie się w ludzi, którzy wyciągają nowo znalezione portfele papierowe.

Fundacja NEM już stworzył narzędzie do śledzenia za brakujące 526 milionów XEM, które zostały skradzione podczas włamania w zeszły piątek. To narzędzie umożliwi giełdom i różnym aplikacjom giełdowym śledzenie wpływających wkładów NEM na ich platformę, a poprzez połączenie API z narzędziem będzie generować odsyłacze, które ujawnią, że adres zawiera skradzioną walutę.

Adresy są na czarnej liście, a giełdy poinformowały, że nie przyjmą żadnych wpłat z tych adresów. Ponadto narzędzia wymiany, takie jak ShapeShift.io, również wyraziły zamiar zablokowania tych adresów w systemie.

Ogromną zaletą rejestrów publicznych jest to, że niezależnie od tego, że waluta została skradziona, istnieje duża szansa, że ​​haker nie będzie w stanie odzyskać żadnej wartości zawartej w skradzionej kwocie.

Przedwczesne ostrzeżenie

Giełda otrzymała ostrzeżenie o możliwych cyberatakach kilka miesięcy przed tym wydarzeniem, ale nie docenili tego i nie poprawili bezpieczeństwa na tej podstawieGiełda otrzymała ostrzeżenie o możliwych cyberatakach kilka miesięcy przed tym wydarzeniem, ale nie docenili tego i nie poprawili bezpieczeństwa na tej podstawie.

Według Japan Times, FSA wydał ostrzeżenie dla CoinCheck o tej luce w zabezpieczeniach, tj. o fakcie, że trzymają fundusze w gorącym portfelu. Brak odpowiedzi na to ostrzeżenie, które otrzymano we wrześniu ubiegłego roku, może skutkować karami administracyjnymi zapłaconymi przez CoinCheck.

Ostrzeżenie dotarło do CoinCheck 26 stycznia, a ich luka została wykorzystana, co spowodowało utratę 58 miliardów jenów.

Obietnica zwrotu skradzionych środków

Ręce CoinCheck ranią klientów oczekujących zwrotu pieniędzy.Ręce zranionych klientów CoinCheck spodziewających się zwrotu pieniędzy po tym, jak firma obiecała zwrócić 90% skradzionych środków.

zdjęcie zrobione przez Kira auf der Heide

CoinCheck potrzebował zaledwie dwóch dni po włamaniu, aby obiecać pełny zwrot skradzionych środków na platformie o łącznej wartości około 46 miliardów jenów, czyli ~ 420 milionów dolarów.

Chociaż nie jest to pełna kwota wynosząca około 90%, nadal jest wystarczająco dobra, aby uzyskać zachętę.

Planują spłatę za pomocą kont firmy i bezpośrednio w jenach japońskich (¥). To dobry znak i jest to możliwe, jeśli FSA zezwoli CoinCheck na kontynuowanie działalności po ustąpieniu kryzysu.

Zlecenie na ulepszenie biznesu

FSA uderza w CoinCheck Nakazem Udoskonalenia Biznesu, który jest silniejszy niż poprzednie ostrzeżenia, które wydają. CoinCheck nie ma innego wyjścia, jak tylko przestrzegać i wdrażać ulepszone środki bezpieczeństwa.FSA uderza w CoinCheck Nakazem Udoskonalenia Biznesu, który jest silniejszy niż poprzednie ostrzeżenia, które wydają. CoinCheck nie ma innego wyjścia, jak tylko przestrzegać i wdrażać ulepszone środki bezpieczeństwa.

W odpowiedzi na wszelkie dodatkowe szkody, Agencja Usług Finansowych (FSA) dokonała nalotu na biura CoinCheck i skonfiskowała komputery, dyski twarde i dokumenty, jednocześnie przedstawiając dyrektorowi generalnemu CoinCheck nakaz usprawnienia działalności.

Znalezione na ich stronie internetowej zlecenie dotyczące usprawnienia działalności stanowi, że firma musi:

  1. Zbadaj fakt i przyczyny sprawy.
  2. Zapewnij odpowiednie wsparcie swoim klientom.
  3. Podejmij kroki w celu wzmocnienia obecnych środków bezpieczeństwa.
  4. Stworzenie jasnych do zrozumienia wytycznych dotyczących zarządzania ryzykiem i zapobiegania im wraz z nowymi środkami dotyczącymi reagowania na podobne zdarzenia wraz z wyjaśnieniem, kto jest za co odpowiedzialny.
  5. Przedstaw pisemne sprawozdanie, tj. Zaplanuj pozycje 1-4 na tej liście do wtorku 13 lutego 2018 r.

Wydaje się, że są bardzo skłonni do odzyskania danych, wygłaszając zdecydowane oświadczenia o możliwości aktualizacji swoich systemów i protokołów bezpieczeństwa.

Biorąc pod uwagę, że nie wdrożyli dostępnych i ogólnie oczekiwanych środków bezpieczeństwa, jesteśmy pewni, że nie będą mieli wielu trudności, aby osiągnąć nowy standard bezpieczeństwa dla swojej platformy.

Wniosek

Całego wydarzenia można było uniknąć, stosując odpowiednie środki bezpieczeństwa. CoinCheck do zwrotu kosztów klientom. FSA obciąża CoinCheck zleceniem usprawnienia biznesowego, żądając pełnego raportu do 13 lutego. Zdjęcie: & lt; a href =Daria Nepriakhina “width =” 1500 “height =” 1000 “/> Całego wydarzenia można było uniknąć, wdrażając odpowiednie środki bezpieczeństwa. CoinCheck zwraca klientom. FSA obciąża CoinCheck zleceniem biznesowym, żądając pełnego raportu do 13 lutego. zdjęcie zrobione przez Daria Nepriakhina

Niezależnie od dużej ilości środków, które zostały skradzione, to tylko przedsmak tego, co mogłoby się stać, gdyby cała giełda została zlikwidowana na konta hakerów.

Na szczęście zespół CoinCheck był wystarczająco szybki, aby odpowiedzieć i zawrzeć to tylko w tokenach NEM. Jestem przekonany, że zespół zarządzający CoinCheck jest uczciwy i dba o interesy swoich klientów, i nie mogę się doczekać, kiedy znów staną na nogi, bezpieczniej niż kiedykolwiek.

To wydarzenie będzie małą lekcją, która będzie chronić giełdę przez wiele lat na tym rozwijającym się rynku kryptowalut, jeśli przetrwają tę katastrofę…

Bardzo ważną stroną tej historii jest fakt, że brak multisiga naraża giełdę na ataki „inside man”, o czym firma obecnie z całą pewnością twierdzi, że tak nie jest.

To, jak mogą ocenić tę sytuację, jest poza mną, ponieważ haker może równie dobrze ukryć się na widoku, jak jeden z techników próbujących rozwiązać sprawę. Nic z tego nie byłoby możliwe, gdyby zaimplementowano multisig, niezależnie od tego, że NEM był trzymany w gorącym portfelu.

Z niecierpliwością czekamy na 13 lutego, kiedy spodziewamy się, że CoinCheck publicznie przedstawi plan dla FSA, w jaki sposób podejdą do problemu i jakie środki podejmą, aby zwrócić koszty poszkodowanym klientom, poprawić bezpieczeństwo i wdrożyć nowe ryzyko i zasady zarządzania odpowiedzialnością.

Oczekujemy, że ich raport będzie zawierał sposób spłaty klientów, a także datę zakończenia tego procesu, a także plany wzmocnienia bezpieczeństwa i poprawy polityki firmy w zakresie zarządzania funduszami..