Пользователи сообщают о потере биткоинов в результате хитроумного взлома кошельков Electrum

[DGN]

КМК, все кошельки крипты окромя официального, а особенно онлайн (включая биржи) — это не ваш карман.

[site6893]

а официальный это какой?

[turtus]

это полную ноду компилировать из официальных репозов и синхронизировать самому

[rumkin]

Уже был взлом репозитория через аккаунт разработчика. Это тоже не вариант, пока разрабы не научатся подписывать код и правильно распространять подписи, а пользователи их проверять.

[turtus]

какого именно биткоин разраба ломали?)

[rumkin]

Не биткоина, а кого-то из топ-10.

[turtus]

а в целом — все равно из мастера не стоит ставить в проде — а на релизных ветках все ок, не ставьте сразу после релиза, посмотрите и тогда у себя обновляйте…

[rumkin]

Там код попал на ноды. Коммент о том, что большинство разрабов даже PGP настроить не могут и коммиты не подписывают (вас это тоже касается).

[turtus]

не поверите, знаю и могу, но гитхаб мой фо фан))) для работы я не коммичу в открытые репы

[rumkin]

Могу быть только рад, если ошибся )

[turtus]

сама задумалась тоже после вашего коммента чего это я) просто привычка что все скрыто в подсетях своих серваков и сред развертки, туда сложно зайти даже имея все ключи)

[turtus]

серьезно интересно какой и в какие, я просматриваю основные нескамные периодически

[rumkin]

Ввел всех в заблуждение сообщением про топ-10, но коммент уже не поправить поэтому оставлю исправление здесь:

Это был проект не из топ-10, а из топ-100 (на момент взлома), называется Syscoin.

Тем не менее это не отменяет того факта, что далеко не все разработчики подписывают свои коммиты даже в bitcoin, а значит потенциал для атаки есть.

[vanyamasnuha]

>Хакер (или хакерская группировка) заработал более 200 биткоинов
не заработал, а украл

[valery1707]

Если транзакция связывается с одним из подставных серверов, они возвращают ошибку, которая приглашает пользователя скачать обновление приложения для кошелька со злонамеренного сайта (репозитория GitHub).

То есть GitHub тут не причём, а ссылка может вести на совершенно любой сайт?

Администрация кошелька Electrum ожидает повторения атаки при помощи нового репозитория на GitHub или ссылки на другой сервер для скачивания.

И тут GitHub не причём.

[SLYzhuk]

По моему статье можно бороду прикрепить

[site6893]

я думаю после первой волны они сами не прочухали как именно ломают, а только ко второму заходу начали что-то подозревать.

[dzsysop]

Я бы сказал с банками все немного проще. Многие банки такие потери замалчивают, но возмещают из своего кармана из заранее сформированных фондов, поэтому для пользователя там риски сведены к минимуму. А тут наверняка у конторы нет вообще никаких своих средств, чтобы что-то возмещать пользователям.

[Psychosynthesis]

Да, собсна… И «конторы»-то нет, по сути. Это сообщество разработчиков, насколько я понял из общения с ними.

[Alesha_Ivanov]

Разработчики кошелька оказались мерзавцами!
У них уязвимость в приложении, которое хранить деньги (!!!), а они чтобы не портить репутацию молчали в тряпочку.
Найти и хорошенько от… здить.

[roscomtheend]

*коины надёжны, говорили они…

[jetcar]

койны надёжны если знаешь как они работают, использование онлайн кошелька подрывает сами основы биткойн сети, у каждого на устройстве должна быть вся цепочка транзакций иначе это всё равно что с банком работать, вообщем безопасно != удобно, быстро