Il sito di poker Bitcoin "Seals With Clubs" è stato hackerato, rubate 42.000 password

Il sito di poker Bitcoin Seals with Clubs ha confermato che il suo database è stato compromesso, anche se non ha menzionato di aver perso 42.020 password hash nel processo. Gli hash sono stati pubblicati su un forum circa 24 ore prima e inutile dire che hanno attirato un sacco di persone intenzionate a decifrarli.

Per qualche ragioneFoche con mazzeha utilizzato funzioni hash SHA1, che sono obsolete a tutti gli effetti. Anche l'ultimo hash SHA3 non è adatto per le password e sembra che il sito si sia basato sul salting crittografico per renderle più sicure, assicurandosi che venissero utilizzati hash diversi anche se due utenti scegliessero esattamente la stessa password.

In ogni caso, non ci è voluto molto perché le persone iniziassero a scoprire alcune password, come "bitcoin1000000", "sealswithclubs", "88seals88" e "pokerseals". Le password rivelate hanno rapidamente portato gli esperti di sicurezza a unire i puntini e concludere che le password provenivano dagli utenti di Seals with Clubs.

Mercoledì, un utente ha pubblicato il database degli hash su un forum di recupero password gestito dal servizio commerciale di cracking delle password InsidePro. L'utente ha offerto 20 $ in bitcoin per ogni set di mille hash univoci. Ci sono voluti solo nove minuti per la prima risposta e il primo set di 1.000 hash. Nel giro di un giorno, circa due terzi dell'elenco sono stati crackati, secondo quanto riportatoTecnica dell'arte.

Giovedì, Seals with Clubs era in modalità di controllo dei danni, ammettendo ufficialmente la violazione e annunciando di aver emesso unreimpostazione obbligatoria della passwordUn post sul suo sito recita:

Il data center che abbiamo impiegato fino a novembre ha consentito l'accesso non autorizzato a un server di database e il nostro database contenente le credenziali utente è stato probabilmente compromesso. Le password sono state salate e sottoposte a hash per utente, ma per sicurezza ogni utente DEVE cambiare la propria password al successivo accesso.

Si prega di farlo il prima possibile. Se la password Seals è stata utilizzata per qualsiasi altro scopo, si dovrebbero reimpostare anche quelle password come precauzione.

Il sito ha sottolineato che avrebbe implementato misure di sicurezza aggiuntive, tra cui l'autenticazione a due fattori e l'accesso da un numero limitato di indirizzi IP.

Questo, tuttavia, non risolverà un altro problema. Poiché Seals with Clubs è un servizio solo bitcoin, ogni titolare di account è un utente Bitcoin e ci sono buone probabilità che almeno alcuni di loro abbiano riutilizzato la stessa password su altri siti Bitcoin . In altre parole, alcuni utenti potrebbero usare esattamente la stessa password sui loro account exchange o portafogli online.

Per quanto riguarda Seals with Clubs, è un sito relativamente piccolo rispetto ai principali siti di Texas Hold'em in circolazione. Il piccolo team di giocatori di poker dietro al sito ha scelto di rimanere anonimo e il sito è stato apparentemente lanciato dopo che sono stati licenziati. Ci auguriamo che giocare a poker durante l'orario d'ufficio non abbia nulla a che fare con questo.