Observando aquela linha do tempo oficial do Gate, quanto mais eu olho, mais parece um ataque de engenharia social de “faca lenta”, e não um rompimento da plataforma.
Revisando alguns pontos-chave:
· 7/4 o novo dispositivo foi usado para iniciar a redefinição do celular + e-mail; verificação aprovada
· 7/5 desvinculação do celular; verificação secundária por reconhecimento facial + histórico de transações
· 7/6 redefinição do Google Authenticator e da senha; validação o tempo todo
· 7/7 o atacante fez login usando “dispositivo antigo + senha antiga” e, em lotes, transferiu fundos para um novo endereço
· 7/8 o usuário só então percebeu a anomalia e contatou o suporte
A versão do Gate é que a situação foi inicialmente considerada um caso isolado, sem indícios de vulnerabilidade no sistema; possivelmente relacionada a vazamento de informações do usuário, e que haverá mais detalhes conforme as investigações.
Minha observação se resume a três pontos:
1. Houve um intervalo de três dias entre a troca/vinculação e a retirada (saque); é bem provável que o atacante tivesse as informações de identidade completas (documentos, pedidos históricos e até material de rosto), o que lhe permitiu passar pelos controles de forma contínua;
2. A combinação “dispositivo antigo + senha antiga” conseguir fazer pedido e retirar diretamente indica que a mitigação por impressão digital do dispositivo e lista de permissões de endereços ainda pode ser otimizada em cenários extremos;
3. O que um usuário comum pode fazer é bem simples — colocar o endereço de retirada na lista de permissões + bloqueio (lock), usar e-mail separado, desligar o 2FA por SMS e trocá-lo por uma chave de hardware, e não deixar foto do documento (frente e verso) nem selfies em conversas/prints.
Independentemente da classificação final, este incidente lembra uma frase: o limite de segurança de um CEX fica metade na plataforma e metade nas suas próprias mãos.
#Gate #交易所安全 #auto-hospedagem
Revisando alguns pontos-chave:
· 7/4 o novo dispositivo foi usado para iniciar a redefinição do celular + e-mail; verificação aprovada
· 7/5 desvinculação do celular; verificação secundária por reconhecimento facial + histórico de transações
· 7/6 redefinição do Google Authenticator e da senha; validação o tempo todo
· 7/7 o atacante fez login usando “dispositivo antigo + senha antiga” e, em lotes, transferiu fundos para um novo endereço
· 7/8 o usuário só então percebeu a anomalia e contatou o suporte
A versão do Gate é que a situação foi inicialmente considerada um caso isolado, sem indícios de vulnerabilidade no sistema; possivelmente relacionada a vazamento de informações do usuário, e que haverá mais detalhes conforme as investigações.
Minha observação se resume a três pontos:
1. Houve um intervalo de três dias entre a troca/vinculação e a retirada (saque); é bem provável que o atacante tivesse as informações de identidade completas (documentos, pedidos históricos e até material de rosto), o que lhe permitiu passar pelos controles de forma contínua;
2. A combinação “dispositivo antigo + senha antiga” conseguir fazer pedido e retirar diretamente indica que a mitigação por impressão digital do dispositivo e lista de permissões de endereços ainda pode ser otimizada em cenários extremos;
3. O que um usuário comum pode fazer é bem simples — colocar o endereço de retirada na lista de permissões + bloqueio (lock), usar e-mail separado, desligar o 2FA por SMS e trocá-lo por uma chave de hardware, e não deixar foto do documento (frente e verso) nem selfies em conversas/prints.
Independentemente da classificação final, este incidente lembra uma frase: o limite de segurança de um CEX fica metade na plataforma e metade nas suas próprias mãos.
#Gate #交易所安全 #auto-hospedagem