Author

Topic: ATTENZIONE: il sito di MyEtherWallet è parzialmente compromesso (Read 382 times)

full member
Activity: 378
Merit: 104
quindi se uno non ha un hardware wallet la cosa piu sicura sarebbe usare mew off line e poi importare le transazioni su un secondo computer on line,anche perche metamask non mi ispira tutta questa fiducia...

si, o sennò basta stare attenti e controllare gli address sul ledger prima di confermare...
hero member
Activity: 2968
Merit: 605
quindi se uno non ha un hardware wallet la cosa piu sicura sarebbe usare mew off line e poi importare le transazioni su un secondo computer on line,anche perche metamask non mi ispira tutta questa fiducia...
full member
Activity: 602
Merit: 144
Posso chiederti cosa intendi per la versione offline di Mew ? Io ho sempre usato quella online, stando sempre ben attento a controllare la barra dell'indirizzo, la certificazione ecc. Con quella offline come si mandano le transazioni?

Vedi:
https://myetherwallet.github.io/knowledge-base/offline/making-offline-transaction-on-myetherwallet.html

Quelle offline transaction le si usavano solo per fare transazioni con gwei bassissimi o altissimi  Grin. Io mi riferivo a questo. Ovvero "eseguire" mew localmente scaricando i sorgenti e aprendo il file index.html. L' unico problema che ho riscontrato è con il ledger ma per il resto del mio utilizzo (con file json) non ho avuto problemi
sr. member
Activity: 490
Merit: 353
this is not a bounty avatar
Posso chiederti cosa intendi per la versione offline di Mew ? Io ho sempre usato quella online, stando sempre ben attento a controllare la barra dell'indirizzo, la certificazione ecc. Con quella offline come si mandano le transazioni?

Vedi:
https://myetherwallet.github.io/knowledge-base/offline/making-offline-transaction-on-myetherwallet.html
full member
Activity: 404
Merit: 103
Parere personale: è inconcepibile, nonostante sia ampiamente evidenziato a caratteri cubitali in rosso, che gli utenti non abbiano scaricato almeno la versione offline di Mew. Pesa meno di 9 Mbyte e vi salva da queste cose.

Sono daccordo, questa è la scelta migliore.

Posso chiederti cosa intendi per la versione offline di Mew ? Io ho sempre usato quella online, stando sempre ben attento a controllare la barra dell'indirizzo, la certificazione ecc. Con quella offline come si mandano le transazioni?
member
Activity: 233
Merit: 31
Parere personale: è inconcepibile, nonostante sia ampiamente evidenziato a caratteri cubitali in rosso, che gli utenti non abbiano scaricato almeno la versione offline di Mew. Pesa meno di 9 Mbyte e vi salva da queste cose.

Sono daccordo, questa è la scelta migliore.
legendary
Activity: 3276
Merit: 3537
Nec Recisa Recedit
esatto. quando sento queste cose sono sempre più felice di aver acquistato il mio Ledger.
non dico di essere sicuro al 100% (la sicurezza assoluta per definizione non esiste) ma sicuramente sono moooooooolto protetto.

per chi non avesse ancora fatto quest'investimento.. fatelo.

In realtà, per questo tipo di problema, ci "cascava" anche una persona normale che usa il ledger. Questo perchè è pur vero che le chiavi private non passano nel pc, ma i siti di phishing sono abbastanza "intelligenti" e, se mandi una transazione col ledger, il sito cambia l' indirizzo e la quantità verso l' address del truffatore. Un utente poco attento (quindi l' utente medio) che conferma subito senza neanche vedere l' indirizzo, perdeva il suo balance anche con il ledger. Un utente un pochettino più attento leggeva le prime tre lettere/numeri e vede se combaciano e conferma la transazione. Un utente molto attento si fermava al "Not Secure" vicino all' URL.

Parere personale: è inconcepibile, nonostante sia ampiamente evidenziato a caratteri cubitali in rosso, che gli utenti non abbiano scaricato almeno la versione offline di Mew. Pesa meno di 9 Mbyte e vi salva da queste cose.

Google Chrome segnala con dei pop-up se il sito non è "Sicuro" in alto a sx vicino l'url.
Quando si accede ad un qualsiasi sito di trading è bene verificare l'url (anche perchè scammate del genere negli anni se ne sono visti un bel po!).Penso che dovrebbe essere automatico il verificare non solo l'url ma che è il sito è "Sicuro".
full member
Activity: 602
Merit: 144
esatto. quando sento queste cose sono sempre più felice di aver acquistato il mio Ledger.
non dico di essere sicuro al 100% (la sicurezza assoluta per definizione non esiste) ma sicuramente sono moooooooolto protetto.

per chi non avesse ancora fatto quest'investimento.. fatelo.

In realtà, per questo tipo di problema, ci "cascava" anche una persona normale che usa il ledger. Questo perchè è pur vero che le chiavi private non passano nel pc, ma i siti di phishing sono abbastanza "intelligenti" e, se mandi una transazione col ledger, il sito cambia l' indirizzo e la quantità verso l' address del truffatore. Un utente poco attento (quindi l' utente medio) che conferma subito senza neanche vedere l' indirizzo, perdeva il suo balance anche con il ledger. Un utente un pochettino più attento leggeva le prime tre lettere/numeri e vede se combaciano e conferma la transazione. Un utente molto attento si fermava al "Not Secure" vicino all' URL.

Parere personale: è inconcepibile, nonostante sia ampiamente evidenziato a caratteri cubitali in rosso, che gli utenti non abbiano scaricato almeno la versione offline di Mew. Pesa meno di 9 Mbyte e vi salva da queste cose.
full member
Activity: 378
Merit: 104
Ho appena letto questo in un gruppo su Telegram:

We’re working to learn more, but it appears that the MyEtherWallet website has been comprised. People have reported logging in and having their funds auto-withdrawn.

No comment has been made by the MEW team. Remember, MEW doesn’t store your tokens, it’s just a way to access them! So if MEW is compromised your tokens are safe as long as you don’t log in.


E qui potete leggere il topic su Reddit: https://www.reddit.com/r/MyEtherWallet/comments/8ek0jj/think_i_got_scammedphishedhacked/

Articolo in italiano: https://cryptonomist.ch/blockchain/myetherwallet-hackerato/

Quindi al momento non inserite la vostra chiave privata tramite il sito.

E' stato risolto?

Si adesso è tornato tutto alla normalità però se durante gli attacchi hai inserito la tua chiave privata nel sito allora adesso è stata rubata.
Se durante gli attacchi hai inserito la tua chiave privata in un altro sito con grafica uguale identica allora adesso è stata rubata.

Per stare sicuri sarebbe meglio usare metamask o il ledger, in questo modo ti tuteli un pò anche in questi casi
esatto. quando sento queste cose sono sempre più felice di aver acquistato il mio Ledger.
non dico di essere sicuro al 100% (la sicurezza assoluta per definizione non esiste) ma sicuramente sono moooooooolto protetto.

per chi non avesse ancora fatto quest'investimento.. fatelo.
hero member
Activity: 784
Merit: 1416
Ho appena letto questo in un gruppo su Telegram:

We’re working to learn more, but it appears that the MyEtherWallet website has been comprised. People have reported logging in and having their funds auto-withdrawn.

No comment has been made by the MEW team. Remember, MEW doesn’t store your tokens, it’s just a way to access them! So if MEW is compromised your tokens are safe as long as you don’t log in.


E qui potete leggere il topic su Reddit: https://www.reddit.com/r/MyEtherWallet/comments/8ek0jj/think_i_got_scammedphishedhacked/

Articolo in italiano: https://cryptonomist.ch/blockchain/myetherwallet-hackerato/

Quindi al momento non inserite la vostra chiave privata tramite il sito.

E' stato risolto?

Si adesso è tornato tutto alla normalità però se durante gli attacchi hai inserito la tua chiave privata nel sito allora adesso è stata rubata.
Se durante gli attacchi hai inserito la tua chiave privata in un altro sito con grafica uguale identica allora adesso è stata rubata.

Per stare sicuri sarebbe meglio usare metamask o il ledger, in questo modo ti tuteli un pò anche in questi casi
legendary
Activity: 3276
Merit: 3537
Nec Recisa Recedit
Credo che il problema stesse nei DNS (in alto a sx nel browser dove appare la casella Sicuro).
I dati inviati quando appare Non Sicuro possono essere visti da malintezionati. Quello che è successo in questo caso... I siti che cercano di sfruttare la vesta grafica sono più spartani da individuare e basta controllare l'url che corrisponda, in questo caso purtroppo l'url era corretto ma come detto il problema era nei DNS.
Un articolo di techcrunch su questo ultimo hack Smiley
https://techcrunch.com/2018/04/24/myetherwallet-hit-by-dns-attack/
full member
Activity: 658
Merit: 105
Ho appena letto questo in un gruppo su Telegram:

We’re working to learn more, but it appears that the MyEtherWallet website has been comprised. People have reported logging in and having their funds auto-withdrawn.

No comment has been made by the MEW team. Remember, MEW doesn’t store your tokens, it’s just a way to access them! So if MEW is compromised your tokens are safe as long as you don’t log in.


E qui potete leggere il topic su Reddit: https://www.reddit.com/r/MyEtherWallet/comments/8ek0jj/think_i_got_scammedphishedhacked/

Articolo in italiano: https://cryptonomist.ch/blockchain/myetherwallet-hackerato/

Quindi al momento non inserite la vostra chiave privata tramite il sito.

E' stato risolto?

Si adesso è tornato tutto alla normalità però se durante gli attacchi hai inserito la tua chiave privata nel sito allora adesso è stata rubata.
Se durante gli attacchi hai inserito la tua chiave privata in un altro sito con grafica uguale identica allora adesso è stata rubata.
sr. member
Activity: 490
Merit: 353
this is not a bounty avatar
Ora si è stato risolto ma l’hack c’è da dire non era a mew ma ai dns di Google che ti indirizzavano ad un sito phishing. Loggando con app come metamask comunque non c’erano problemi.
legendary
Activity: 1316
Merit: 1001
Ho appena letto questo in un gruppo su Telegram:

We’re working to learn more, but it appears that the MyEtherWallet website has been comprised. People have reported logging in and having their funds auto-withdrawn.

No comment has been made by the MEW team. Remember, MEW doesn’t store your tokens, it’s just a way to access them! So if MEW is compromised your tokens are safe as long as you don’t log in.


E qui potete leggere il topic su Reddit: https://www.reddit.com/r/MyEtherWallet/comments/8ek0jj/think_i_got_scammedphishedhacked/

Articolo in italiano: https://cryptonomist.ch/blockchain/myetherwallet-hackerato/

Quindi al momento non inserite la vostra chiave privata tramite il sito.

E' stato risolto?

Questo è stato risolto, ma non è la prima volta che myethwallet subisce degli attacchi, sono loro stessi , quando vuoi accedere inserendo la private key, a suggerirti di non farlo e di usare metodi alternativi
member
Activity: 252
Merit: 12
Ho appena letto questo in un gruppo su Telegram:

We’re working to learn more, but it appears that the MyEtherWallet website has been comprised. People have reported logging in and having their funds auto-withdrawn.

No comment has been made by the MEW team. Remember, MEW doesn’t store your tokens, it’s just a way to access them! So if MEW is compromised your tokens are safe as long as you don’t log in.


E qui potete leggere il topic su Reddit: https://www.reddit.com/r/MyEtherWallet/comments/8ek0jj/think_i_got_scammedphishedhacked/

Articolo in italiano: https://cryptonomist.ch/blockchain/myetherwallet-hackerato/

Quindi al momento non inserite la vostra chiave privata tramite il sito.

E' stato risolto?

Si adesso è tornato tutto alla normalità però se durante gli attacchi hai inserito la tua chiave privata nel sito allora adesso è stata rubata.
newbie
Activity: 11
Merit: 0
Ho appena letto questo in un gruppo su Telegram:

We’re working to learn more, but it appears that the MyEtherWallet website has been comprised. People have reported logging in and having their funds auto-withdrawn.

No comment has been made by the MEW team. Remember, MEW doesn’t store your tokens, it’s just a way to access them! So if MEW is compromised your tokens are safe as long as you don’t log in.


E qui potete leggere il topic su Reddit: https://www.reddit.com/r/MyEtherWallet/comments/8ek0jj/think_i_got_scammedphishedhacked/

Articolo in italiano: https://cryptonomist.ch/blockchain/myetherwallet-hackerato/

Quindi al momento non inserite la vostra chiave privata tramite il sito.

E' stato risolto?
legendary
Activity: 1981
Merit: 1039
considera che sono device molto semplici rispetto all'enorme complessità che si nasconde dietro all'accoppiata di hardware + software tipica di un computer che da spazio a moltepici punti di vulnerabilità.

il loro scopo è semplicemente quello di conservare le private key nel device senza renderne possibile l'accesso fisico e permettere solo la funzione della sign della transazione.


full member
Activity: 308
Merit: 100
Vedendo queste cose mi viene da decidermi a comprare un hardware wallet per mettere in sicurezza le poche cose che ho.

Ma quanto è sicuro l'hard wallet ? Secondo me con l'informatica la sicurezza al 100 % non esiste.
full member
Activity: 658
Merit: 105
Vedendo queste cose mi viene da decidermi a comprare un hardware wallet per mettere in sicurezza le poche cose che ho.
full member
Activity: 308
Merit: 100
Quindi chi non usa dns esterni  ma usa quelli automatici del provider dei servizi internet non dovrebbe avere problemi.

Mi confermate ?
legendary
Activity: 2576
Merit: 2880
Catalog Websites
Esatto, sono stati compromessi i DNS di Google e li hanno usati per reindirizzare il sito di MEW, avrebbero potuto farlo anche con altri. Comunque come fatto notare non era presente il protocollo di sicurezza del sito, e doveva anche avvisare in qualche modo, quindi chi ha deciso di proseguire lo stesso è stato parecchio, come dire, imprudente...
jr. member
Activity: 148
Merit: 3

se ho capito bene hanno cambiato alcuni dns in modo che ti riportava su un finto sito e una volta inserite le privkey il truffatore le copiava e svuotava i wallet. fino a ieri sera aveva preso oltre 400 ethereum

infatti hanno hackerato i dns di google e dal motore di ricerca venivi re-indirizzato al sito di pishing,
però il navigatore attento si accorge che il protocollo non è https e non c'e' un certificato valido dando un'occhiata alla barra di navigazione,
insomma si poteva evitare, mew te lo dice chiaramente ogni volta che accedi di controllare bene prima di inviare le chiavi private e di installare le estensioni
per evitare il pishing....

jr. member
Activity: 209
Merit: 7
Da quello che ho capito non è stato Myetherwallet ad essere hackerato ma i DNS di google.Chiunque aveva impostato come DNS quelli di google e si collegava su myetherwallet veniva reindirizzato su un sito di phishing fatto ad hoc.
member
Activity: 233
Merit: 31
Io non ho capito qual è stato il problema però. Hanno effettivamente trovato una falla che poi è rientrata? Una falla che permetteva di "perdere" la chiave privata nel caso di log-in?
Nel caso, da quanto tempo era presente questa problematica?

se ho capito bene hanno cambiato alcuni dns in modo che ti riportava su un finto sito e una volta inserite le privkey il truffatore le copiava e svuotava i wallet. fino a ieri sera aveva preso oltre 400 ethereum

Usando un hardware wallet o metamask si risolve  tutto senza regalare chiavi private, o no?

In questo caso la chiave privata è al sicuro ma se effettui una transazione sul sito falso questa viene automaticamente indirizzata verso l'address del truffatore.

Per una maggiore sicurezza sarebbe meglio utilizzare la versione in "locale" di MEW prelevandola dal sito github ufficiale.
sr. member
Activity: 1554
Merit: 297
Io non ho capito qual è stato il problema però. Hanno effettivamente trovato una falla che poi è rientrata? Una falla che permetteva di "perdere" la chiave privata nel caso di log-in?
Nel caso, da quanto tempo era presente questa problematica?

se ho capito bene hanno cambiato alcuni dns in modo che ti riportava su un finto sito e una volta inserite le privkey il truffatore le copiava e svuotava i wallet. fino a ieri sera aveva preso oltre 400 ethereum
Più o meno la stessa tecnica usata qualche mese fa con etherdelta se non sbaglio. Ma è così facile da attuare questo hack visto il ripetersi del problema?

Usando un hardware wallet o metamask si risolve  tutto senza regalare chiavi private, o no?
legendary
Activity: 1316
Merit: 1001
Io non ho capito qual è stato il problema però. Hanno effettivamente trovato una falla che poi è rientrata? Una falla che permetteva di "perdere" la chiave privata nel caso di log-in?
Nel caso, da quanto tempo era presente questa problematica?

se ho capito bene hanno cambiato alcuni dns in modo che ti riportava su un finto sito e una volta inserite le privkey il truffatore le copiava e svuotava i wallet. fino a ieri sera aveva preso oltre 400 ethereum
hero member
Activity: 1666
Merit: 565
Io non ho capito qual è stato il problema però. Hanno effettivamente trovato una falla che poi è rientrata? Una falla che permetteva di "perdere" la chiave privata nel caso di log-in?
Nel caso, da quanto tempo era presente questa problematica?
newbie
Activity: 182
Merit: 0
quindi e tornato tutto alla normalita? ci si puo loggare tranquillamente inserento la propria chiave privata sul sito? un hardware wallet scarica tutta la blockchain?...
Un hardware wallet non scarica tutta la bc. Semplicemente se ti colleghi ad un sito compromesso non perdi le private key perchè sono criptate e conservate al sicuro nel dispositivo.
hero member
Activity: 2968
Merit: 605
quindi e tornato tutto alla normalita? ci si puo loggare tranquillamente inserento la propria chiave privata sul sito? un hardware wallet scarica tutta la blockchain?...
member
Activity: 378
Merit: 13
I developer di mew hanno segnalato che tutto è rientrato, ma vi consiglio vivamente di utilizzare un hardware wallet e di attendere qualche giorno che tutto rientri alla normalità, non si sa mai.
member
Activity: 252
Merit: 12
Tweet ufficiale di MEW: https://twitter.com/myetherwallet/status/988787116015415296
Quote
Couple of DNS servers were hijacked to resolve http://myetherwallet.com  users to be redirected to a phishing site. This is not on @myetherwallet side, we are in the process of verifying which servers to get it resolved asap.

Un altro tweet di MEW: https://twitter.com/myetherwallet/status/988830652526092288
Quote
Google Domain Name System registration servers were hijacked earlier today at roughly 12PM UTC so that MEW users were redirected to a phishing site. This redirecting of DNS servers is a decade-old hacking technique that aims to undermine the Internet’s routing system.

Ora sembra che la situazione sia tornata alla normalità: https://twitter.com/myetherwallet/status/988836522974572544
Quote
It seems that everything is now back to normal, BUT PLEASE STAY SAFE and read/share this guide

legendary
Activity: 2576
Merit: 2880
Catalog Websites
Ho appena letto questo in un gruppo su Telegram:

We’re working to learn more, but it appears that the MyEtherWallet website has been comprised. People have reported logging in and having their funds auto-withdrawn.

No comment has been made by the MEW team. Remember, MEW doesn’t store your tokens, it’s just a way to access them! So if MEW is compromised your tokens are safe as long as you don’t log in.


E qui potete leggere il topic su Reddit: https://www.reddit.com/r/MyEtherWallet/comments/8ek0jj/think_i_got_scammedphishedhacked/

Articolo in italiano: https://cryptonomist.ch/blockchain/myetherwallet-hackerato/

Quindi al momento non inserite la vostra chiave privata tramite il sito.
Jump to: