Efekty braku włączonego 2FA na poczcie i na giełdzie

[BTC-m]

Ludzie, włączcie sobie GA bo jak tylko zmienicie giełdę a nie włączycie uwierzytelniania z innego urządzenia to okradną was na innej równie łatwo. No i nie otwierajcie załączników FakturaZaTelefon.pdf.exe

[kancer]

Ja niestety też padłem ofiarą kradzieży.( Tak, nie zdawałem sobie okazji z zagrożenia ). Kilka tys. poszło w pizd*... Dzwoniłem do BitBay ( po 20 minutach oczekiwania ) udało się porozmawiać. Polecili skontaktować się z policją, obiecali udzielić wszystkie info odnośnie transakcji. W ogóle to ktoś zalogował mi się na poloniexa ( Ktoś z Rumunii, takie mam info na poczcie ). Stamtąd kasa nie zniknęła. Zniknęła natomiast z BitBay. Ściągnąłem sobie GA i powiązałem ze wszystkimi kontami. Pozmieniałem hasła. Czy nadal jest jakieś zagrożenie ( coś w stylu zhakowany adres e-mail ). Jesteście w stanie polecić jakieś dodatkowe zabezpieczenia ?

Pozdrawiam !

Kamil

[Prezes000]

Wszyscy co zostali okradzeni/zhakowani/mieli włam na konto. Testowaliscie może wersję beta bitbay 3.0?

[rumcajs27]

Też wczoraj wieczorem zostałem oszabrowany na giełdzie BitBay, "trochę" BTC poszło się.. całować. Sprawa została zgłoszona na Policję, poczyniłem też inne kroki zmierzające do wyjaśnienia sprawy. Zobaczymy co z tego wyjdzie. Zaznaczę , że skrzynkę mailową miałem na Interii. Więcej jest osób poszkodowanych??

[rav3n_pl]

Ściągnąłem sobie GA i powiązałem ze wszystkimi kontami. Pozmieniałem hasła. Czy nadal jest jakieś zagrożenie ( coś w stylu zhakowany adres e-mail ). Jesteście w stanie polecić jakieś dodatkowe zabezpieczenia ?

Jeżeli masz GA to bez przejęcia telefonu nie ma możliwości włamu.
W sumie dziwi mnie, że ludzie mają NIE zabezpieczone skrzynki pocztowe... O kontach giełdy nie wspominając.

ps.
Czekam na kolejne rejestracje nowych userów z rewelacją "mnie też okradziono na BB".

[BTC-m]

Ja niestety też padłem ofiarą kradzieży.( Tak, nie zdawałem sobie okazji z zagrożenia ). W ogóle to ktoś zalogował mi się na poloniexa ( Ktoś z Rumunii, takie mam info na poczcie ). Stamtąd kasa nie zniknęła. Zniknęła natomiast z BitBay. Ściągnąłem sobie GA i powiązałem ze wszystkimi kontami. Pozmieniałem hasła. Czy nadal jest jakieś zagrożenie ( coś w stylu zhakowany adres e-mail ). Jesteście w stanie polecić jakieś dodatkowe zabezpieczenia ?

Pozdrawiam !

Kamil

Polo ma dodatkowe zabezpieczenie które nie pozwala się zalogować bez mailowego potwierdzenia z innego IP niż zawsze, ale po przejęciu maila kradzież pieniędzy z niego jest równie prosta jak z BB z weryfikacją email. Nawet nie zdajecie sobie sprawy jak wielu z was jest handlowanych hurtowo na giełdzie jako zombie. Wystarczy że macie jakiegoś cracka Office i już możecie być w grupie komputerów na sprzedaż do botneta za 7-15 centów. Kupiec ma was w swoim panelu, instaluje zdalnie, hurtowo jakiegoś RATa, sprawdza co można z Was wycisnąć (zaczyna od maila i usług z których korzystacie). I tak bedą wam ginęły pieniądze, ktoś bedzie płacił waszą kartą kredytową czy PayPalem.
Co może pomóc? Reinstall systemu a potem instalowanie tylko oryginalnych programów i zdrowy rozsądek przy załącznikach. Myślicie że cracki do popularnych programów są za darmo?

Proponuję zrobić akcję uświadamiającą zakupu kilkuset zombie, zainstalowania na nich RATA przeszukanie ich maila pod kątem konta na giełdzie krypto a następnie powiadomienia ich żeby sobie przeinstalowali system i zmienili hasła zanim trafią na kogoś kto będzie chciał ich zmonetyzować. Czekam na oferty od giełd:)

[The Real McCoin]

A ja proponuję giełdom, albo komuś odważnemu, żeby pokazał 2FA w akcji.
To znaczy, żeby utworzył pokazowe konto na giełdzie, wpłacił tam małą sumkę, założył 2FA z Google Authenticatorem na smartfona i następnie opublikował login i hasło do konta giełdowego oraz login i hasło do powiązanej skrzynki pocztowej.
Pytanie: czy środki znikną?

[rav3n_pl]

Jeżeli zdjęcie GA jest możliwe za pomocą maila - to tak XD

[BTC-m]

Hakerzy nie atakują kiedy zabezpieczenia są dobre, oni wybierają tych nieświadomych którzy mają 2FA na tym samym koncie mailowym które mają przejęte, lub robią mały phishing żeby pozyskać hasło do drugiego konta email. Tacy ludzie zawsze będą ich karmili a giełdy mają problem z wymuszaniem GA czy Authy bo nie każdy ma odpowiedni sprzęt który to obsłuży.

[Harey]

nie każdy ma odpowiedni sprzęt który to obsłuży

Możliwości jest sporo, sam korzystam z opcji:
Yubikey -> drogo
6 letni smartfon odcięty od sieci -> tanio
Konsola linux "oathtool --totp --base32 privatekey" -> za darmo (ewentualnie przedpotopowy laptop wylicytowany za 10pln?)
Chyba, że ktoś lubi wygodnie, 400k pln na 1 klik pod Win. Kto bogatemu zabroni?

[mstfw]

A moze bylo tak. Hakier w jakis sposob pozyskal maile uzytkownikow gieldy.
Na o2 jedna z opcji odzyskania hasla jest podanie odpowiedzi na wczesniej zdefiniowane pytanie. Wiec jezeli ktos podal proste pytanie typu "Jaki jest twoj ulubiony kolor?" To przejecie takiego konta jest bardzo latwe.

[orzeu]

Wszyscy co zostali okradzeni/zhakowani/mieli włam na konto. Testowaliscie może wersję beta bitbay 3.0?

tak.

Swoją drogą, reset hasła na bitbay to 30 sekund roboty. Jedyne zabezpieczenie to Recaptcha, gdzie żeby się dodzwonić nawet na infolinię trzeba Pin podawać - żeby chociaż jakieś pytanie dodatkowe, nie mówiąc już o powiadomieniu sms, czy chociażby tym pinie nie można było ustawić przy zmianie hasła dodatkowo?

A moze bylo tak. Hakier w jakis sposob pozyskal maile uzytkownikow gieldy.
Na o2 jedna z opcji odzyskania hasla jest podanie odpowiedzi na wczesniej zdefiniowane pytanie. Wiec jezeli ktos podal proste pytanie typu "Jaki jest twoj ulubiony kolor?" To przejecie takiego konta jest bardzo latwe.

Tylko, że wtedy generuje się zdaje nowe hasło, nieprawdaż?


Cała sprawa śmierdzi i wydaje mi się, że to dopiero czubek góry innych ludzi okradzionych ze środków na bitbay

[constantine]

Hmmm... to już naprawdę ciekawe.
Jak pobieżnie zerknąłem, to się 'uzbierało' ze 6os z podobnym kłopotem.
I jak patrzę, to chyba jednak miałem trochę szczęścia, że miałem na BB niewiele z tego co mam, bo dziś mógłbym mieć 0,0 do dalszej gry.
Wszystkim OKRADZIONYM serdecznie współczuję - nieprzyjemne uczucie, prawda (?)
Niestety wszelkim straconym środkom możecie raczej powiedzieć: Pa Pa
Ja zgłosiłem sprawę na policję. Policjant prowadzący tylko przebiera nóżkami żeby przekazać sprawę do prowadzenia komendzie głównej, bo - jak twierdzi - ma za małe możliwości. A jak pracuje policja, to sobie można zobaczyć oglądając przesłuchanie pani asp. operacyjnej z komendy wojewódzkiej przed komisją AG.
Poza tym 'straceńcy' zajrzyjcie do regulaminu BB. Szczególnie polecam §6. Ja to zrobiłem, nie mam złudzeń.
Giełda BB nie bierze żadnej odpowiedzialności! Korzystając z niej zgadzasz się na ryzyko (jak widać całkiem spore).

[rav3n_pl]

Korzystając z niej zgadzasz się na ryzyko (jak widać całkiem spore).

Z KAŻDEJ.
ŻADNA giełda nie może odpowiadać za nieodpowiedzialne używanie przez userów.
Chyba, że jakaś zacznie sprzedawać sprzęt z zainstalowanym i poblokowanym OSem, VPN i innymi cudami. Ale nie sądzę ;]

[devilne]

Mnie też okradziono - 5 listopada na bitbay, nie miałem Googla authenticatora niestety, za to na bittrexie go mam i złodziej zalogował się mimo to, z tym, że nic nie ukradł

[The Real McCoin]

Jeżeli zdjęcie GA jest możliwe za pomocą maila - to tak XD

Wychodzi na to, że 2FA na giełdzie nie ma większego znaczenia, jeżeli ktoś przejął powiązane konto pocztowe.
2FA na koncie pocztowym nie ma większego znaczenia, jeżeli ktoś przejął powiązane z nim inne konto pocztowe, służące do odzyskiwania.
Na końcu tego łańcuszka i tak musi się znaleźć konto pocztowe bez 2FA, hakowalne z dowolnego miejsca na świecie i być może resetowalne po odgadnięciu ulubionego koloru właściciela.

[Bit-els]

i dlatego nie mam kont "ratunkowych" Zakładam, że nie zgubię hasła (powielone w x miejscach y razy)

[Harey]

nie mam kont "ratunkowych"

Robię tak samo, przykładowo proton pozwala na włączenie 2FA bez podawania dodatkowych kanałów odzyskiwania.

[znawcaa]

Widzę, że 6 listopada też miałem włam na konto i zdefraudowano mi tysiąc złotych. Fakt nie korzystałem z 2 etapowego logowania i to mój błąd. Jakie kroki poczynić trzeba poza informacją do Bitbay?

[Zrestartowany]

Ja również 6 listopada rano miałem próbę włamania na konto. Gmail zablokował możliwość wejścia z nieznanego urządzenia, chociaż ktoś znał hasło. Dzień później z samego rana ktoś próbował wejść na Bitbay...