Компания, которая помогает вернуть деньги, потеряла ключи от всех клиентов
Компания, которая специализируется на поиске ответа на вопрос «куда делись эти деньги», потеряла ключи от всех своих клиентов. Имена, имена пользователей, хеши паролей, а также действующие токены авторизации. Все клиенты — без исключения.
По-настоящему тревожны последние четыре слова. Токены.
Хеш пароля нужно взломать, а токен — нет. В момент успешного входа сервер вручает вам бумажку: кто её получил, тот и есть вы. Ничего взламывать или угадывать не нужно, срок её действия ещё не истёк.
Всё случилось в октябре. Первое уведомление появилось 30-го числа: компания заявила, что утекли только идентификаторы, имена, адреса электронной почты и прочая информация, которую она считала нечувствительной. После выходных расследование показало, что утечка затронула всех, но компания признала это только в среду.
Почему она молчала эти два дня, компания так и не объяснила. Она ограничилась одной фразой: точку входа атаки обнаружили и устранили. Где она находилась, до сих пор никто не знает. Это они так отчитались?
Затем компания просто остановила половину бизнеса. Страницу входа, панель отслеживания, мониторинг транзакций, проверку адресов — всё отключили разом. Чтобы восстановить доступ, нужно внести статический IP-адрес компании в белый список, а после входа принудительно сменить пароль и обновить ключи.
Многие считают, что аналитика блокчейна безопасна по своей природе: ведь реестр открыт. Открыт только реестр. Сервер авторизации вообще не в блокчейне — он стоит в серверной, и всё, кто туда заходил, записано в журналах.
Если ваш вывод средств заблокировали и потребовали дополнительные документы, решение мог принять не только сам обменник. Подобные компании на самом деле продают базу меток: кому принадлежит тот или иной адрес, через сколько промежуточных адресов прошли деньги. Остановилась база — остановилось всё.
Реестр $BTC был открыт с первого дня: любой может скачать все данные и провести собственный анализ. Такой бизнес возможен именно потому, что реестр открыт, а те, кто его интерпретирует, — нет.
Среди её клиентов — Microsoft, Barclays и биржа $COINB . У них самих ничего не пропало — пропала бумажка их поставщика.
Биткоин — 75774. За день почти ничего не произошло. Такие события никогда не отражаются на свечном графике — они проявляются в следующем документе о соблюдении нормативных требований, под которым нужно поставить подпись. По-моему, дороже всего здесь не данные.
Если бизнес продаёт обещание «я могу определить, кому принадлежат эти деньги», самый ценный актив — уверенность в том, что никто не проникал внутрь. База данных здесь лишь на втором месте. И вот этому активу резервной копии нет. Его не восстановить.
Любой бизнес, который продаёт доверие, рано или поздно столкнётся с проблемой именно такого рода.
Потому что реестр можно открыть всем, а ключи можно хранить только в одной комнате.
Компания, которая специализируется на поиске ответа на вопрос «куда делись эти деньги», потеряла ключи от всех своих клиентов. Имена, имена пользователей, хеши паролей, а также действующие токены авторизации. Все клиенты — без исключения.
По-настоящему тревожны последние четыре слова. Токены.
Хеш пароля нужно взломать, а токен — нет. В момент успешного входа сервер вручает вам бумажку: кто её получил, тот и есть вы. Ничего взламывать или угадывать не нужно, срок её действия ещё не истёк.
Всё случилось в октябре. Первое уведомление появилось 30-го числа: компания заявила, что утекли только идентификаторы, имена, адреса электронной почты и прочая информация, которую она считала нечувствительной. После выходных расследование показало, что утечка затронула всех, но компания признала это только в среду.
Почему она молчала эти два дня, компания так и не объяснила. Она ограничилась одной фразой: точку входа атаки обнаружили и устранили. Где она находилась, до сих пор никто не знает. Это они так отчитались?
Затем компания просто остановила половину бизнеса. Страницу входа, панель отслеживания, мониторинг транзакций, проверку адресов — всё отключили разом. Чтобы восстановить доступ, нужно внести статический IP-адрес компании в белый список, а после входа принудительно сменить пароль и обновить ключи.
Многие считают, что аналитика блокчейна безопасна по своей природе: ведь реестр открыт. Открыт только реестр. Сервер авторизации вообще не в блокчейне — он стоит в серверной, и всё, кто туда заходил, записано в журналах.
Если ваш вывод средств заблокировали и потребовали дополнительные документы, решение мог принять не только сам обменник. Подобные компании на самом деле продают базу меток: кому принадлежит тот или иной адрес, через сколько промежуточных адресов прошли деньги. Остановилась база — остановилось всё.
Реестр $BTC был открыт с первого дня: любой может скачать все данные и провести собственный анализ. Такой бизнес возможен именно потому, что реестр открыт, а те, кто его интерпретирует, — нет.
Среди её клиентов — Microsoft, Barclays и биржа $COINB . У них самих ничего не пропало — пропала бумажка их поставщика.
Биткоин — 75774. За день почти ничего не произошло. Такие события никогда не отражаются на свечном графике — они проявляются в следующем документе о соблюдении нормативных требований, под которым нужно поставить подпись. По-моему, дороже всего здесь не данные.
Если бизнес продаёт обещание «я могу определить, кому принадлежат эти деньги», самый ценный актив — уверенность в том, что никто не проникал внутрь. База данных здесь лишь на втором месте. И вот этому активу резервной копии нет. Его не восстановить.
Любой бизнес, который продаёт доверие, рано или поздно столкнётся с проблемой именно такого рода.
Потому что реестр можно открыть всем, а ключи можно хранить только в одной комнате.
