Tak nám ukradli všechny Bitcoiny, paní Müllerová

(UPDATE 13.11 ve 23:10 na konci článku.)

V pondělí vzrušila český kyberprostor zpráva o tom, že někdo hackl a vykradl český bitcoinový portál a burzu www.bitcash.cz.

Já na bitcash.cz žádné finanční prostředky neměl (BTC ani Kč), ale byl jsem tam registrovaný a o celé záležitosti jsem se paradoxně dozvěděl díky phishingovému e-mailu, který mi dorazil a vyzýval mě k zaplacení 2 BTC na "profesionální vymahače z USA", hahaha.

(Klik pro větší verzi)

Záhy bylo vypátráno, že neznámý hacker vyvedl všechny Bitcoiny z bitcash.cz (bylo jich téměř 500!) na adresu 1Dxvnp7HuBC4g3L199q2up9o6H21PUkZLQ, a to konkrétně touto transakcí. (K takovému odhalení nemusí být člověk žádný Einstein, takhle Bitcoiny fungují a je to jejich výhoda i nevýhoda.) Za domácí úkol se můžete pokusit vystopovat, kam se odtud Bitcoiny dále rozutekly.

Prostým použitím Googlu dále bylo možno zjistit, že se tato adresa vyskytuje na stránce www.bitcoin-charity.info, kde je uváděna jako adresa, na kterou je možno zasílat dobrovolné příspěvky pro WikiLeaks! Takže to chvíli vypadalo, že Čechy okradl Julian Assagne, ale za pár hodin bohužel celá doména www.bitcoin-charity.info zmizela (zde je její Google cache), tudíž je vysoce pravděpodobné, že celá ta doména byl podvod a/nebo hack (WikiLeaks na svých stránkách každopádně uvádějí pro svou finanční podporu jinou BTC adresu).

Z této politováníhodné události je možno vyvodit několik zajímavých závěrů:

1) Bitcoinům pořád málokdo rozumí

Protože šlo o značné peníze, objevily se zprávy o tomto hacku i na serióznějších mainstream zpravodajských serverech, kde jste se mohli dočíst, že "byly ukradeny všechny české Bitcoiny", nebo že "kurz Bitcoinu je nyní přes 250 dolarů" (přičemž nikdy mezi hackem a zveřejněním článku neklesl pod 350). A že měnový kód pro Bitcoin je XBC (je to BTC). Tyto přehmaty jsou v současné chvíli již většinou opraveny.

2) Protokol Bitcoinu je nadále bezpečný a neprolomený

Jak už jsem psal ve svém starším článku, tento typ krádeží nemá nic společného s bezpečností Bitcoinu jako takového. Pokud jste natolik důvěřiví, že někomu pošlete své Bitcoiny do jím spravované peněženky, pak necháváte jejich bezpečnost výhradně na něm a vy ji nijak neovlivníte. Náhoda je svině, CIA a FBI jsou ještě větší svině, takže se snažím dobu, kdy mi Bitcoiny leží na burze (nebo kdekoliv jinde než v mé peněžence), omezit na naprosté minimum.

3) Prověřujte si, komu věříte

Neznám podrobnosti ohledně fungování bitcash.cz (pouze jsem se tam zaregistroval a na webu jsem strávil asi 10 minut celkem), ale všechno, co jsem v souvislosti s touto kauzou viděl, svědčí o naprostém diletantismu jeho provozovatelů (proti kterým nic osobního nemám a neznám je). Někteří přišli s teoriemi, že to celé je pouze chytrý podvod provozovatelů bitcash.cz, ale to si rozhodně nemyslím. Je to jenom neschopnost a neodůvodněná důvěra uživatelů.

Začněme tím, že kdybych byl klientem bitcash.cz a nedostal bych ten phishingový e-mail (a mám ověřeno, že ho rozhodně nedostali všichni klienti), tak ani teď, více než 24 hodin po útoku vůbec netuším, že jsem přišel o své peníze!

Jediné informace od provozovatelů pro oběti se nacházejí na www.bitcash.cz a na facebookové stránce Bitcash.cz (která je provozována fanoušky, nikoliv majiteli Bitcash.cz). Na bitcash.cz se ještě v tuto chvíli nachází stále jen toto a nic víc:

Zatímco na Facebooku je toto vlákno, kde se nachází zatím jediné upozornění provozovatele, že ty e-maily s žádostí o 2 BTC jsou podvod (tzn. kdo nečte Facebook, dosud o tom neví!!!), a pak spousta rozhořčených klientů, kteří se většinou ještě nacházejí ve fázi "denial", tj. domnívají se stále ještě, že své Bitcoiny někdy uvidí a že jim k tomu pomůže například policie ČR, provozovatel bitcash.cz, Ježíš Kristus nebo jiná pohádková entita.

Nebudu zde rozebírat zabezpečení serveru bitcash.cz, protože by to byly jen dohady, ale o mnohém svědčí skutečnost, že Bitcoiny v hodnotě několika milionů Kč se všechny nacházely na účtech, k nímž byla potřebná hesla na serveru někde v serverovně. Správně měla být většina BTC většinu času uschována v "Cold Storage", tzn. na bezpečném účtě, jehož hesla nemá nikdo jiný, než nejvyšší boss (a jeho manželka/matka pro případ jeho smrti). Kvůli takovémuto objemu peněz by se přece někomu vyplatilo už i fyzicky se vloupat do serverovny a server odnést! (Silně pochybuji, že jeho souborový systém byl zakódovaný externím klíčem - ale jistotu nemám, jsou to dohady.)

Každopádně jde o fatální selhání komunikace ze strany bitcash.cz a s velkou pravděpodobností i o bezpečnostní a technické selhání.

Trestní oznámení bude rozhodně zajímavé, protože někdo bude muset nejdříve policii vysvětlit, že byla zkopírována nějaká čísla, která za jistých podmínek mohou mít finanční ekvivalent, a že okradený s nimi ve velkém obchodoval a měnil je za reálné peníze, aniž by byl obchodníkem nebo bankou. Ten rozhovor s panem nadstrážmistrem Vomáčkou bych rád slyšel!

A ještě vlastní polívčičika: Moje osobní směnárna stále bezpečně funguje. :)

UPDATE 13.11, 23:10: Dodatečně jsem si vzpomněl, že před několika měsíci (v srpnu) mi přišel z info@bitcash.cz mail, ve kterém admin (s přezdívkou carlos) nabízel zapojení mé BTC stránky do jeho serveru. Na tento e-mail jsem podrobně odpověděl (ještě téhož dne), ale vrátila se mi pouze chyba (třikrát): "Google tried to deliver your message, but it was rejected by the server for the recipient domain bitcash.cz by mail.alh.cz. [88.208.121.58]." To pro mě bylo dostatečným signálem k tomu, abych na bitcash.cz nikdy žádné peníze neposílal.