Skradzionio mi 3 bitcoiny z Mt.Goxa

[GetBitCoin_pl]

To chyba post przestrzegający przed własną głupotą, sam siebie o to nie podejrzewałem. No ale do rzeczy.
Wpłaciłem wczoraj 3 bitcoiny na Mt.Goxa w celu sprzedaży 2013/11/30 23:31:00 no i wystawiłem na noc ofertę.
Rano się budzę i patrzę że dostałem maila od Goxa:

Dear GetBitCoin_pl,

There has been a withdrawal from your Mt.Gox account:

Transaction reference: 8375425f-71d4-4cb7-94bf-47e363db4aa9
Date: 2013-12-01 01:59:21 GMT
IP: 87.117.229.233

You can access your account history for more details.

Please contact us as soon as possible by replying to this email if you did not request this withdrawal.

Thanks,
The Mt.Gox Team

Ktoś anulował moją ofertę i wypłacił na legalu 3 bitcony na swój adres (18kps2Kv1sSauCJUKeXZSLUy1Wpaui24Ka) z IP z UK. Oczywiście pierwsze o co się zapytacie to "Jak to jest możliwe?"
Po prostu... zapomniałem zmienić hasła na goxie... zarejestrowałem się tam w czerwcu bardziej z ciekawości niż z chęci inwestowania w bitcoiny no i użyłem standardowego hasła... czyli takiego jak wszędzie. Oczywiście nie jestem kretynem (a może już tak) i nie używam standardowego hasła do banków giełd i wszystkich stron związanych z realną kasą. W czerwcu Gox nie był dla mnie stroną powiązaną z kasą...
Chyba sporo użytkowników używa wtyczek do haseł typu Lastpass? No właśnie... bardzo wygodne rozwiązanie, zapamiętujecie jedno hasło i automatycznie loguje was do wszystkich zapamiętanych stron.
W ten oto sposób pozbyłem się 3 bitcoinów - od czerwca nie zmieniałem hasła na goxie mimo tego że od sierpnia przelało się tam sporo gotówki.
Także uczcie się na błędach i zmieńcie hasła
Pozdrawiam

PS Będę was informować jak support Mt.Goxa do tego podejdzie i jak to się zakończy. Hejty odłóżcie na bok, nauczkę już dostałem.

Nakazuję każdemu dodać Google Authenticator do logowania dwuetapowego

[prezes]

Masz tipsa na otarcie łez

[GetBitCoin_pl]

dzięki prezes zawsze można na ciebie liczyć

[TypowyFacet]

Może zrobimy zrzutkę na pocieszenie

[Bitmar]

Samo hasło to za mało !!!! Nie ważne jakie by ono było i czy go nie zapisujemy w przeglądarce !!!
Obowiązkowo google authenticator najlepiej jeszcze w połączeniu z yubikeyem. Yubikey goxa kosztuje 30$, i idzie do Polski ok 4 dni. Chyba warto tyle dać za bezpieczeństwo.

[xionc]

Co to znaczy standardowe hasło? qwerty czy 123456?

Przeskanuj na wszelki wypadek system pod kątem trojanów/keyloggerów.

Dla swojego dobra podaj to hasło tutaj w ramach katharsis i zmień wszędzie gdzie używałeś. Tzw. standardowych haseł jest +/- 50 i właśnie się przyznałeś, że używasz go wszędzie To, że w bankach masz inne nie oznacza, że dzięki tym "standardowym" nie można dobrać się do Twoich pieniędzy.

[GetBitCoin_pl]

standardowym określam hasło które używam na pierwszym lepszym forum czy stronie wymagającej rejestracji. Nie nie jest to 123hasło ...

[xionc]

Dziwne, że Cie nie interesuje skąd jest wyciek. Rejestrujesz się gdzie popadnie i podejrzewasz admina jakiegoś forum btc?

[Bit-els]

@Bitmar
dlaczego hasło to za mało? Na Bitcurexie jest tak, że aby wypłacić btc albo fiaty na konto złodzieja trzeba zmienić adres lub konto. A do tego potrzebny jest włam na maila. Konta mailowego nie można łamać na brutala, bo po kilku próbach logowanie jest blokowane

[sawek]

Chyba, że na forum które padło ( atak ) miałeś takie samo hasło jak do poczty.

[Bitmar]

@Bit-els. Za mało ze względu na trojany. Jeżeli mamy trojana w kompie to bez problemu wyciągnie nam hasła keylogerem, i z giełdy i z maila. Najlepiej jest kupić yubikeya albo przynajmniej zainstalować google authenticator np na komórce czy tablecie.

[xionc]

Czy yubikey widoczny jako urządzenie hid nie będzie przechwytywany tak samo jak naciśnięcia klawiszy (mowa o jego zastosowaniu jako wpisywacza długich haseł)?

[Bitmar]

Będzie tak samo przechwytywany jak wpisanie hasła na klawiaturze, ale może być użyty tylko raz. Więc zawsze będziemy pierwsi, a potencjalny włamywacz i tak kodu yubikey drugi raz nie wykorzysta. Chyba, że nam podsunie stronę łudząco podobną do giełdy.

[sawek]

Ja właśnie włączyłem sobie weryfikację dwuetapową w gmail i traz dostaje sms'em kod do logowania się na skrzynkę.
W/g mnie takie zabezpieczenie powinno być również w Bitcurex w celu potwierdzenia przelewu lub ew drugie hasło/pin, którego nie można zmienić poprzez mail, żeby autoryzować przelew tak jak jest to na Blockchain'ie.
Nigdy nie wiesz kiedy otrzymasz maila lub pena z trojanem.
Chwila nieuwagi i po kasce.

[GetBitCoin_pl]

Dziwne, że Cie nie interesuje skąd jest wyciek. Rejestrujesz się gdzie popadnie i podejrzewasz admina jakiegoś forum btc?

Nikogo nie podejrzewam! Rejestruje się tam gdzie chcę się zarejestrować...

Sugerujesz, że winny jest LastPass czy po prostu miałeś za słabe główne hasło do bazy? Nie rozumiem Twojej wypowiedzi w tym miejscu. Mógłbyś wyjaśnić?

To nie wina LastPass. Podejrzewam publiczne wi-fi + brak protokołu ssl na forach/stronach - wtedy hasło wysyłasz czystym tekstem i każde dziecko z wiresharkiem może je przechwycić.

@Bitmar
Jakoś wcześniej się nie zauważyłem innych opcji prócz yubikeya.
Polecam każdemu zastosować Google Authenticator wg mnie wygodna aplikacja.

[Bitmar]

Jak sobie wydrukujesz/zapiszesz na kartce klucz prywatny to nic się nie stanie.

[xionc]

I tracisz pieniądze tam gdzie chcesz tracić!

Powinieneś podejrzewać adminów forum i osoby w temacie a nie przypadkowych snifferów!!! To jest paranoja!

Wątek nic nie mówi o tym w jaki sposób doszło do włamania.

Napisz jakieś konkrety, które mogłyby pomóc Tobie podobnym.

Czy może ja czegoś nie rozumiem? Opis zdarzenia nie trzyma się kupy!

[GetBitCoin_pl]

Człowieku! Jak się używasz jednego hasła do gry online, forum i giełdy bitcoina to prędzej czy później stracisz kasę. Dlatego przestrzegam żeby tego nie robić i najlepiej dodać Google Authenticator

[qertoip]

@GetBitCoin_pl dzięki za podzielenie się.

Bezpieczeństwo to nie tylko wiedza; to przede wszystkim samodyscyplina, a z tym wiadomo, wszyscy mamy lepsze i gorsze dni.

[prezes]

Podstawowa i chyba najważniejsza zasada, za każdym razem podajemy inny login i inne hasło.