Author

Topic: Украли биткоины electrum (Read 533 times)

legendary
Activity: 2436
Merit: 1849
Crypto for the Crypto Throne!
September 05, 2019, 07:31:44 AM
#35
Ну на самом деле, атака на Електрум была практически идеальной, притом вот в статье приводятся совсем другие скрины - https://decenter.org/ru/problemy-electrum

Там в тех скринах ссылка была на гитхаб, только вот там был electrum-org а реальный гитхаб електрума - spesmilo/electrum
Все блин слишком на правду было похоже. Но да, те, кто проверил подпись могли бы спастись. Про чексуммы смысла говорить нет, думаю вы понимаете почему.
legendary
Activity: 2044
Merit: 1231
September 02, 2019, 07:06:38 PM
#34
...и да если это имеет значение то я использовал linux ubuntu. В итоге украли все мои накопленные деньги...

Конечно имеет значение. Благодарю вас.
legendary
Activity: 2436
Merit: 1849
Crypto for the Crypto Throne!
August 29, 2019, 11:37:17 AM
#33
Клипперы - это которые содержимое буфера обмена подменяют? Насколько я понимаю, там сложнее, там нет возможности вмешиваться в работу атакуемого ПО. А здесь вся программа заменена на свою - делай, что хошь.

Возможности нет, но клиппер может очень долго быть незамеченным. Там идет сверка по строке, и если допустим в буфер копируется не адрес, то клиппер даже не реагирует.

По поводу фейкового клиента: ну а зачем заморачиваться если и так работает то?  Grin
Здесь опять таки, более социально инженерийный аспект включился. Многие как овцы себя повели.
legendary
Activity: 1512
Merit: 1442
thefuzzstone.github.io
August 29, 2019, 09:24:17 AM
#32
Но многие чисто на автомате могут такое пропускать.
У меня с самого начала знакомства с криптой выработалась привычка проверять первые и последние 4 символа.

Я и говорю, они и на аппаратнике, наверное, кнопку на автомате нажимали бы.
+1, патамушта Леджер/Трезор нильзя хакнуть!

legendary
Activity: 1848
Merit: 2033
Crypto Swap Exchange
August 29, 2019, 07:21:14 AM
#31
Но многие чисто на автомате могут такое пропускать.
Я и говорю, они и на аппаратнике, наверное, кнопку на автомате нажимали бы.

У меня раньше было представление, что в данном случае хакерами тщательно разработана операция, и всё подготовлено максимально безупречно (они же там даже ддосили легальные сервера несколько дней, а это, я так понимаю, недешево). А оказывается, они не смогли дописать пару десятков строк в свой фейковый клиент, чтобы он не выводил на экран левый адрес и прочую разоблачающую их информацию. Разве трудно было это сделать? Слава богу, конечно, что так, иначе жертв могло бы быть гораздо больше.

Клипперы - это которые содержимое буфера обмена подменяют? Насколько я понимаю, там сложнее, там нет возможности вмешиваться в работу атакуемого ПО. А здесь вся программа заменена на свою - делай, что хошь.
legendary
Activity: 2436
Merit: 1849
Crypto for the Crypto Throne!
August 29, 2019, 06:29:23 AM
#30
Единственное, что могло бы остановить - говно сайт. я уверен такое еще можно заметить будучи достаточно внимательным.
Сейчас увидел этот ролик. Там на 1:30 видно, что в превью транзакции адрес назначения явно левый. Как можно даже в превью транзакции не глянуть для сверки адреса? Таким и аппаратник не поможет ).

ну а как клипперы работают? Тоже на этом, человек копирует адрес, вставляет. То, что вставляется совсем другой адрес, многих не волнует. Ну тоесть я всегда сверяю то, что в отправке и то, что мне дают для оплаты например. Но многие чисто на автомате могут такое пропускать.
legendary
Activity: 1848
Merit: 2033
Crypto Swap Exchange
August 28, 2019, 08:47:46 AM
#29
Ну, кто-то скомпилировал себе подарочек...
Да какая там компиляция в питоне? ). Так, копирование файлов практически...


Единственное, что могло бы остановить - говно сайт. я уверен такое еще можно заметить будучи достаточно внимательным.
Сейчас увидел этот ролик. Там на 1:30 видно, что в превью транзакции адрес назначения явно левый. Как можно даже в превью транзакции не глянуть для сверки адреса? Таким и аппаратник не поможет ).
legendary
Activity: 1512
Merit: 1442
thefuzzstone.github.io
August 28, 2019, 08:38:11 AM
#28
Там же видно на скринах по моей ссылке, что формат был тот же, что и на оф.сайте, то есть исходники.
Да, действительно. Когда первый раз смотрел, чёт пропустил этот скрин.
Ну, кто-то скомпилировал себе подарочек...
legendary
Activity: 1848
Merit: 2033
Crypto Swap Exchange
August 28, 2019, 08:34:18 AM
#27
Ну, теперь мне интересно в каком формате качали юзеры Линукса. Со стороны хацкерят самым умным решением было бы запилить AppImage, чтобы как можно больше охватить Линукс-аудитории.
Там же видно на скринах по моей ссылке, что формат был тот же, что и на оф.сайте, то есть исходники. Это тогда. В последнее время, возможно, добавили и AppImage (логично было бы, раз на оф.сайте он появился).
legendary
Activity: 1512
Merit: 1442
thefuzzstone.github.io
August 28, 2019, 08:27:55 AM
#26
Нет, оно везде работало, так как у Електрума старых версий есть возможность запускать гуи код любому. Там главное было законнектиться к серверу злоумышленника (или серверам?) вот тогда происходило веселье.
Понял. Ну, теперь мне интересно в каком формате качали юзеры Линукса. Со стороны хацкерят самым умным решением было бы запилить AppImage, чтобы как можно больше охватить Линукс-аудитории.
legendary
Activity: 2436
Merit: 1849
Crypto for the Crypto Throne!
August 28, 2019, 04:02:33 AM
#25
Там он не Электрум фейковый скачал, а у него была старая версия, которая была неустойчива к недавней атаке, когда кошелек подключается к серверу злоумышленника, сервер запускает код в клиенте кошелька, и человек часто просто кликает обновиться.
Вроде эта уловка была только на Винде, не? В день атаки я отправлял какую то транзу. Мой Электрум (до обновления) что то долго коннектился, но потом законнектился и работал как всегда, то есть отлично. И я не получал никаких всплывающих окон и предложений обновиться.

Нет, оно везде работало, так как у Електрума старых версий есть возможность запускать гуи код любому. Там главное было законнектиться к серверу злоумышленника (или серверам?) вот тогда происходило веселье.
legendary
Activity: 1512
Merit: 1442
thefuzzstone.github.io
August 28, 2019, 03:22:53 AM
#24
вот здесь на некоторых скринах видно, как выглядели фейковые страницы.
Красиво  Smiley:



И как бы столько народу не смутило electrume... Хотя файлы качались electrum, хитро.  Wink

А здесь чел пользовался Linux Mint.
Сайт electrumpad уже не работает... самому не проверить. Спросил того чувака в комментах.
legendary
Activity: 1848
Merit: 2033
Crypto Swap Exchange
August 27, 2019, 04:40:25 PM
#23
Кажется, для всех платформ было.
Гмм, тогда какой формат пакета качался, .deb? А если кто то на Арче сидел, или Федоре, или.. Генту? Или исходники качались?
Кажется, .tar.gz. Но не уверен, завтра попробую поискать.
Quote
AppImage вроде как после всей этой истории появился... (могу ошибаться)
Да, впервые появился в 3.3.4.


update

TheFuzzStone, вот здесь на некоторых скринах видно, как выглядели фейковые страницы.
А здесь чел пользовался Linux Mint.
legendary
Activity: 1512
Merit: 1442
thefuzzstone.github.io
August 27, 2019, 04:31:22 PM
#22
Кажется, для всех платформ было.
Гмм, тогда какой формат пакета качался, .deb? А если кто то на Арче сидел, или Федоре, или.. Генту? Или исходники качались?
AppImage вроде как после всей этой истории появился... (могу ошибаться)
legendary
Activity: 1848
Merit: 2033
Crypto Swap Exchange
August 27, 2019, 04:28:43 PM
#21
ВТС поступали на аккаунты хацкерят еще пару дней.
До сих пор поступают. А тогда, в конце декабря, конечно, мрак был. Меня особенно впечатляли суммы - 83 битка, 27... Как такие деньги люди держат на горячих кошельках без страховки в виде мультиподписи хотя бы?
Quote
Вроде эта уловка была только на Винде, не?
Кажется, для всех платформ было.
Quote
В день атаки я отправлял какую то транзу. Мой Электрум (до обновления) что то долго коннектился, но потом законнектился и работал как всегда, то есть отлично. И я не получал никаких всплывающих окон и предложений обновиться.
Там же далеко не все сервера фейковые были, вы случайно попали на правильный, вам повезло ).
legendary
Activity: 1512
Merit: 1442
thefuzzstone.github.io
August 27, 2019, 03:39:07 PM
#20
Да какая то мутная история + топик-стартер не предоставил никаких пруфов, как и автор второго поста.

хочется свалить вину на какую-то "дыру" в электруме.
Всем хочется и хотелось даже в тот момент, когда Твиттер и Реддит трещали по швам от новостей об атаке на серваки Электрума. Но пофиг, ВТС поступали на аккаунты хацкерят еще пару дней. Что не говори, красиво сделали.

Там он не Электрум фейковый скачал, а у него была старая версия, которая была неустойчива к недавней атаке, когда кошелек подключается к серверу злоумышленника, сервер запускает код в клиенте кошелька, и человек часто просто кликает обновиться.
Вроде эта уловка была только на Винде, не? В день атаки я отправлял какую то транзу. Мой Электрум (до обновления) что то долго коннектился, но потом законнектился и работал как всегда, то есть отлично. И я не получал никаких всплывающих окон и предложений обновиться.

legendary
Activity: 1848
Merit: 2033
Crypto Swap Exchange
August 27, 2019, 03:00:14 PM
#19
В общем, в который раз приходим к выводу, что нельзя хранить какие-то значимые суммы на горячих кошельках ).
sr. member
Activity: 826
Merit: 330
August 27, 2019, 02:50:25 PM
#18
aнaлoгичнaя cитyaция, кoшeлeк-дыpявoe peшeтo. Hиктo тyт ни зa чтo нe oтвeчaeт. Щac тeбe экcпepты 1000 ccылoк нaкидaют чeгo дeлaть нe нaдo былo. Чepeз гoд eгo oпять взлoмaют или чтo нибyдь пpидyмaют , мы oпять ocтaнeмcя бeз дeнeг.

В чем проблема? Если "кoшeлeк-дыpявoe peшeтo", то Вам сюда - https://shop.ledger.com/.
Никто здесь никого не заставляет устанавливать именно electrum...и эксперты точно плохого ничего не посоветуют.
legendary
Activity: 2436
Merit: 1849
Crypto for the Crypto Throne!
August 27, 2019, 02:23:21 PM
#17
...и качает, а главное - без проверки запускает фейковый Электрум )

А я не уверен что сам бы так не сделал. проверка подписи изначального файла установки - это по классике для меня. Но вот трястись и думать от кого идет обнова, ну это уже как то слишком фольго шапочно. Кто ж знал что к интерфейску кроме разрабов имеет доступ любой говно сервер к которому подключается кошелек.

Единственное, что могло бы остановить - говно сайт. я уверен такое еще можно заметить будучи достаточно внимательным.

Вообще, такой способ фишинга это уже не хакинг, а соц инженерия в чистом виде. Ну кому в голову придет что запросы на обновы в приложении могут приходить не только от разрабов?
legendary
Activity: 1848
Merit: 2033
Crypto Swap Exchange
August 27, 2019, 11:54:54 AM
#16
aнaлoгичнaя cитyaция, кoшeлeк-дыpявoe peшeтo.
В тои, что вы попались на фишинг, по большей части виноваты вы сами. Вы же сами скачали фейковый электрум и поставили себе на комп? Тут другая ситуация.

Там он не Электрум фейковый скачал, а у него была старая версия, которая была неустойчива к недавней атаке, когда кошелек подключается к серверу злоумышленника, сервер запускает код в клиенте кошелька, и человек часто просто кликает обновиться.
...и качает, а главное - без проверки запускает фейковый Электрум ).
Quote

Здесь на самом деле реально довольно таки хитрый способ, и не сказал бы что вина полностью на стороне этого челика. Это тебе не зайти на сайт allsoftware.ru и скачать оттуда Электрум, это блин фишинг нового уровня, к нему устойчивы процентов 5 населения Земли.
Я и не говорил, что вина полностью его. Конечно, часть вины и на разработчиках, и на сообществе, вовремя не разглядевших потенциальную опасность в фиче. И да, способ действительно изящный, тут почти каждый мог попасться на эту уловку. Поэтому я везде, как попугай, повторяю: "Всегда проверяйте PGP-подпись софта, связанного с деньгами (да и прочего тоже желательно, но ладно...). Это лучший способ не стать жертвой даже самого хитроумного фишинга".
legendary
Activity: 2436
Merit: 1849
Crypto for the Crypto Throne!
August 27, 2019, 11:23:41 AM
#15
aнaлoгичнaя cитyaция, кoшeлeк-дыpявoe peшeтo.
В тои, что вы попались на фишинг, по большей части виноваты вы сами. Вы же сами скачали фейковый электрум и поставили себе на комп? Тут другая ситуация.

Там он не Электрум фейковый скачал, а у него была старая версия, которая была неустойчива к недавней атаке, когда кошелек подключается к серверу злоумышленника, сервер запускает код в клиенте кошелька, и человек часто просто кликает обновиться.

Здесь на самом деле реально довольно таки хитрый способ, и не сказал бы что вина полностью на стороне этого челика. Это тебе не зайти на сайт allsoftware.ru и скачать оттуда Электрум, это блин фишинг нового уровня, к нему устойчивы процентов 5 населения Земли.
legendary
Activity: 2275
Merit: 1180
AI Atelier
August 27, 2019, 10:38:51 AM
#14

Не вводилась. Никто не мог!
Версия 3.3.4


Какие то чудеса Вы нам тут рассказываете, но пока это только слова, мало похожие на правду...
Я повторю свою просьбу. Предъявите адрес кошелька. Блокчейн - врать не будет...
или слабо?!
legendary
Activity: 2436
Merit: 1849
Crypto for the Crypto Throne!
August 27, 2019, 06:42:16 AM
#13
Но в линукс, имхо, затруднительно удаленно установить "шпиона".

Как раз таки здесь горе от ума. Если ОП "упростил" администраторские права (в сети полно инструкций от "умных" людей), то Линукс превращается в дырявое решето, в разы более дырявое чем даже Виндовс. Или если не стоит пароль / или же qwerty123 , тогда Линукс хуже чем винда.

Автор, в Линуксе ты случаем не расшаривал админские права на всех юзеров? Это когда в консоли уже не надо вводить "sudo" и следом пароль. И стоял ли у тебя пароль на вход в операционку?
legendary
Activity: 1848
Merit: 2033
Crypto Swap Exchange
August 27, 2019, 03:15:33 AM
#12
Тогда я пас пока. Конечно, я понимаю, вам хочется свалить вину на какую-то "дыру" в электруме. Но вероятность этого минимальна (если это так, то обязательно должны быть подобные случаи, которых пока нет). Конструктивней искать ошибку в безопасности у себя. Если у вас появятся какие-то мысли/подозрения, напишите здесь, если не трудно - это может быть полезно другим.
newbie
Activity: 4
Merit: 1
August 27, 2019, 03:05:42 AM
#11
Из имеющейся информации наиболее логичным кажется вариант с кражей файла кошелька (это могло произойти раньше) и сейчас пароля через keyloger итп.. Потому что если бы был украден сид, то не было бы нужды ждать, пока вы введете пароль. Но в линукс, имхо, затруднительно удаленно установить "шпиона". К компу, кроме вас, доступ имел кто-нибудь разбирающийся в этой теме (может, в ремонт отдавали)?

Никто доступ не имел
legendary
Activity: 1848
Merit: 2033
Crypto Swap Exchange
August 27, 2019, 02:59:26 AM
#10
Из имеющейся информации наиболее логичным кажется вариант с кражей файла кошелька (это могло произойти раньше) и сейчас пароля через keyloger итп.. Потому что если бы был украден сид, то не было бы нужды ждать, пока вы введете пароль. Но в линукс, имхо, затруднительно удаленно установить "шпиона". К компу, кроме вас, доступ имел кто-нибудь разбирающийся в этой теме (может, в ремонт отдавали)?
newbie
Activity: 4
Merit: 1
August 27, 2019, 02:57:24 AM
#9
sed фраза была записана на листке, пароль был в голове и требовался перед входом-выходом в кошелек, и при выводе биткоина.
то есть сид-фраза никогда в комп/телефон не вводилась (ни в виде текста, ни в виде фотографии), а листок, вы уверены, никто, кроме вас увидеть не мог?
Quote
Версию не помню, установлен он был 15.02.2019 смотрите сами какая была на тот момент.
Я посмотрел - 13.02.19 вышла версия 3.3.4. Но интересно именно то, какая версия у вас написана в заголовке окна или в "About".
Quote

P.S Еще хочу внести дополнение что выведенные деньги продолжают лежать четвертый день на неизвестном кошельке.
Это обычная практика, вору незачем торопиться двигать средства дальше.

Не вводилась. Никто не мог!
Версия 3.3.4
legendary
Activity: 1848
Merit: 2033
Crypto Swap Exchange
August 27, 2019, 02:38:46 AM
#8
sed фраза была записана на листке, пароль был в голове и требовался перед входом-выходом в кошелек, и при выводе биткоина.
то есть сид-фраза никогда в комп/телефон не вводилась (ни в виде текста, ни в виде фотографии), а листок, вы уверены, никто, кроме вас увидеть не мог?
Quote
Версию не помню, установлен он был 15.02.2019 смотрите сами какая была на тот момент.
Я посмотрел - 13.02.19 вышла версия 3.3.4. Но интересно именно то, какая версия у вас написана в заголовке окна или в "About".
Quote

P.S Еще хочу внести дополнение что выведенные деньги продолжают лежать четвертый день на неизвестном кошельке.
Это обычная практика, вору незачем торопиться двигать средства дальше.
newbie
Activity: 4
Merit: 1
August 27, 2019, 02:28:06 AM
#7
Пароль состоял из 40 символов
Пароль от кошелька или парольная фраза к сиду (так называемое 13 слово)?
Файл кошелька запаролен (при входе пароль требует)?
Где хранился сид? Какая версия Electrum у вас стоит?

aнaлoгичнaя cитyaция, кoшeлeк-дыpявoe peшeтo.
В тои, что вы попались на фишинг, по большей части виноваты вы сами. Вы же сами скачали фейковый электрум и поставили себе на комп? Тут другая ситуация.

sed фраза была записана на листке, пароль был в голове и требовался перед входом-выходом в кошелек, и при выводе биткоина.
Версию не помню, установлен он был 15.02.2019 смотрите сами какая была на тот момент.
P.S Еще хочу внести дополнение что выведенные деньги продолжают лежать четвертый день на неизвестном кошельке.
legendary
Activity: 2275
Merit: 1180
AI Atelier
August 27, 2019, 02:20:51 AM
#6
Всем здравствуйте, начну с того что пол года назад я скачал кошелек electrum и пользовался им успешно до сегодняшнего дня, сегодня я решил зайти в свой кошелек проверить свой баланс, потом я вышел и зашел через 10 минут, моя транзакция уже уходила и было 2 подтверждения, сразу скажу что я качаю всё только с официальных сайтов, версия моего кошелька была до  3.3.4. по левым ссылкам я не перехожу, в курсе всех этих тонкостей. Пароль состоял из 40 символов никому я его не передавал кроме меня его никто не знал хранил его в голове! и да если это имеет значение то я использовал linux ubuntu. В итоге украли все мои накопленные деньги, неужели это так и останется ?

Пароль в 40 символов держать в голове?... К тому же, вводить пароль для просмотра баланса...
Это не похоже на правду.

Адрес кошелька - в студию!
legendary
Activity: 1848
Merit: 2033
Crypto Swap Exchange
August 26, 2019, 11:36:13 AM
#5
Пароль состоял из 40 символов
Пароль от кошелька или парольная фраза к сиду (так называемое 13 слово)?
Файл кошелька запаролен (при входе пароль требует)?
Где хранился сид? Какая версия Electrum у вас стоит?


aнaлoгичнaя cитyaция, кoшeлeк-дыpявoe peшeтo.
В тои, что вы попались на фишинг, по большей части виноваты вы сами. Вы же сами скачали фейковый электрум и поставили себе на комп? Тут другая ситуация.
legendary
Activity: 2618
Merit: 6452
Self-proclaimed Genius
August 26, 2019, 08:21:34 AM
#4
Hello, I'll start with the fact that half a year ago I downloaded the electrum wallet and used it successfully until today, today I decided to go to my wallet to check my balance, then I went out and came in 10 minutes, my transaction was already gone and there were 2 confirmations, I'll tell you right away that I downloaded everything only from official sites, the version of my wallet was up to 3.3.4. The password was 40 characters and I didn't give it to anyone but me, nobody knew it in my head! And if it matters I used linux ubuntu. Eventually, all my accumulated money was stolen, is that how it will stay?

Hmm, version 3.3.4 should be safe from phishing scam but having a very long passphrase doesn't guarantee your fund's safety especially if your SEED was already leaked before that incident.
It's very hard to tell what happened but to give you somewhere to start, verify the signatures of your current Electrum or/and the previous version(s) if you've updated it.

By the way, the transaction already had 2 confirmations, so there's no way to reverse it.

In Russian:
Quote
Hmm, Bepcия 3.3.4 дoлжнa быть зaщищeнa oт фишингoвoгo мoшeнничecтвa, нo нaличиe oчeнь длиннoй ключeвoй фpaзы нe гapaнтиpyeт бeзoпacнocть вaшeгo фoндa, ocoбeннo ecли вaш SEED yжe был yтeчён дo этoгo инцидeнтa.
Oчeнь тpyднo cкaзaть, чтo пpoизoшлo, кpoмe кaк дaть вaм мecтo для нaчaлa, пpoвepить пoдпиcь вaшeгo тeкyщeгo Electrum и/или/и пpeдыдyщeй вepcии (вepcий), ecли вы oбнoвили eгo.

Кcтaти, тpaнзaкция yжe имeлa 2 пoдтвepждeния, тaк чтo ee нeвoзмoжнo пepeвepнyть.
Translated with www.DeepL.com/Translator
legendary
Activity: 3668
Merit: 6382
Looking for campaign manager? Contact icopress!
August 26, 2019, 06:45:02 AM
#3
OP, if you want more/better answers, please either ask in the forum of your language (Russian?), either ask in English.


Google translate:
OP, если вы хотите получить больше / лучше ответов, пожалуйста, спросите на форуме о вашем языке (русском?), Или спросите на английском.
newbie
Activity: 6
Merit: 0
August 26, 2019, 06:38:01 AM
#2
aнaлoгичнaя cитyaция, кoшeлeк-дыpявoe peшeтo. Hиктo тyт ни зa чтo нe oтвeчaeт. Щac тeбe экcпepты 1000 ccылoк нaкидaют чeгo дeлaть нe нaдo былo. Чepeз гoд eгo oпять взлoмaют или чтo нибyдь пpидyмaют , мы oпять ocтaнeмcя бeз дeнeг.
newbie
Activity: 4
Merit: 1
August 26, 2019, 05:02:54 AM
#1
Всем здравствуйте, начну с того что пол года назад я скачал кошелек electrum и пользовался им успешно до сегодняшнего дня, сегодня я решил зайти в свой кошелек проверить свой баланс, потом я вышел и зашел через 10 минут, моя транзакция уже уходила и было 2 подтверждения, сразу скажу что я качаю всё только с официальных сайтов, версия моего кошелька была до  3.3.4. по левым ссылкам я не перехожу, в курсе всех этих тонкостей. Пароль состоял из 40 символов никому я его не передавал кроме меня его никто не знал хранил его в голове! и да если это имеет значение то я использовал linux ubuntu. В итоге украли все мои накопленные деньги, неужели это так и останется ?
Jump to: