Bitcoin -покерний сайт «Seals With Clubs» зламано, викрадено 42 000 паролів

Bitcoin покерний сайт Seals with Clubs підтвердив, що його базу даних було зламано, хоча він не згадав, що в процесі втратив 42 020 хешованих паролів. Хеші були опубліковані на форумі приблизно за 24 години до цього, і, зрозуміло, вони привернули увагу багатьох людей, які прагнули їх зламати.

Чомусь Печатки з булавами використовував хеш-функції SHA1, які застаріли для всіх цілей. Навіть найновіший хеш SHA3 не підходить для паролів, і, схоже, сайт покладався на криптографічну обробку, щоб зробити їх більш безпечними, гарантуючи, що різні хеші будуть використовуватися, навіть якщо два користувачі вибрали той самий пароль.

У будь-якому випадку людям не знадобилося багато часу, щоб з’ясувати деякі паролі, такі як «bitcoin1000000», «sealswithclubs», «88seals88» і «pokerseals». Виявлені паролі швидко змусили експертів з безпеки прийти до висновку, що паролі надійшли від користувачів Seals with Clubs.

У середу користувач опублікував базу даних хешів на форумі для відновлення пароля, яким керує комерційна служба злому паролів InsidePro. Користувач пропонував 20 доларів у біткойнах за кожен набір із тисячі унікальних хешів. Першу відповідь і перший набір із 1000 хешів зайняло лише дев’ять хвилин. За добу було зламано близько двох третин списку, повідомляє Ars Technica.

До четверга Seals with Clubs перебувала в режимі контролю збитків, офіційно визнавши порушення та оголосивши, що випустила обов'язкове скидання пароля. У дописі на його сайті говориться:

Центр обробки даних, який ми використовували до листопада, дозволяв несанкціонований доступ до сервера бази даних, і наша база даних, що містить облікові дані користувача, була, ймовірно, скомпрометована. Паролі були додані та хешовані для кожного користувача, але для безпеки кожен користувач ПОВИНЕН змінити свій пароль під час наступного входу.





Будь ласка, зробіть це якнайшвидше. Якщо ваш пароль Seals використовувався з будь-якою іншою метою, вам також слід скинути ці паролі як запобіжний захід.

На сайті зазначено, що він запровадить додаткові заходи безпеки, включаючи двофакторну автентифікацію та вхід з обмеженої кількості IP-адрес.

Однак це не вирішить іншої проблеми. Оскільки Seals with Clubs — це лише біткойн-сервіс, кожен власник облікового запису є Bitcoin користувачем, і існує велика ймовірність, що принаймні деякі з них повторно використовували той самий пароль на інших Bitcoin сайтах. Іншими словами, деякі користувачі можуть використовувати той самий пароль у своїх біржових облікових записах або онлайн-гаманцях.

Що стосується Seals with Clubs, то це відносно невеликий сайт порівняно з основними сайтами Texas Hold’em. Невелика команда гравців у покер, яка стояла за сайтом, вирішила залишитися анонімною, і сайт, очевидно, був запущений після того, як їх звільнили. Ми сподіваємося, що гра в покер у робочий час не має до цього нічого спільного.