Gekraakte Bitcoin-exchange Mt.Gox doet wisselkoers kelderen

Dit is virtueel geld en nu malware op 1 pc, dadelijk op 10 pc's en de vraag is dan of ze de hele dag bezig zijn om transcaties terug te draaien. Dit laat alleen maar zien dat dit virtuele geld een waardeloos idee is.

Je hebt helemaal gelijk! Aangezien er ook bij een aantal Nederlandse banken telebankieren is gekraakt na malware op de PC vind ik dan ook dat we van al het electronisch geld af moeten, dat is namelijk ook virtueel. Iedereen moet weer in cheques, per week betaald worden, die alleen aan het loket (10-4, ma-do, anders te duur) geïnd kunnen worden, met biometrisch paspoort. Zo blijft iedereen lekker veilig!

Even serieus, je PC is ook niet niks waard omdat je af en toe een browsertoolbar installeert, zelfs niet omdat je Windows gebruikt. En dit heeft niets met malware op de PC te maken, of zelfs met Bitcoin an sich, het is een kraak van één beurs. Er is via een SQL injectie een database met E-mails, login namen en (md5, gedeeltelijk zonder salt) passwords buitgemaakt. De aanvaller kon van een aantal accounts het wachtwoord achterhalen, heeft ingelogd en BTC saldo's van alle getroffen accounts naar dit account overgemaakt (valuta saldo's bleven staan, die kun je niet snel roven). Vanwege juridische plichten en als extra beveiliging is er een afschrijvingslimiet van $1000 per dag (in BTC of valuta) per account. Dus als je een grote roof wil plegen crash je de waarde van BTC door één grote bid (van naar verluidt 400k BTC) voor 0.01 USD per BTC te plaatsen, hieruit worden alle uitstaande kooporders voldaan en zakt de prijs, als er iets overblijft kun je van de restant maximaal 100.000 BTC ($1000/0.01) per account direct wegsluizen. Later kun je dit weer tegen dagprijs verkopen (zeg 300k * 15 USD=4 miljoen USD).

De vraag is alleen hoeveel BTC is overgebleven (de 25k genoemd door techdirt is al een week oud nieuws en heeft hier niets mee te maken, dat was wel malware op een PC) en of dit succesvol overgeschreven is naar een ander Bitcoin adres. Zo ja dan moet Mt. Gox dit verlies zelf vergoeden. Zij hebben echter gezegd dat alle saldo's veilig bewaard zijn, als dat zo is (b.v. door een delay op grote overschrijvingen, of misschien een berekening van de $1000 op 24-uurs basis zodat de schade een veel kleinere aantal BTC betreft), dan is er niets aan de hand.

Het terugrollen van transacties die in die paar minuten zijn gemaakt is wel eerlijk, maar het is incorrect dat die transacties illegaal zouden zijn, sterker nog, het kan zijn dat Mt. Gox illegaal bezig is om ze terug te draaien. In theorie zijn ze zowel een broker als beurs, en de front-end is gehacked terwijl de back-end naar behoren bleef werken. Van de 60.000 gebruikers zijn er een paar die voor zeer lage tarieven een grote BTC saldo mislopen, vraag is alleen of zij juridische stappen nemen. Aan de andere kant zouden gebruikers ook stappen kunnen nemen als ze niet terugdraaien.

Het is overigens niet zo dat dit een liquiditeitsprobleem vormt voor Mt. Gox, het is geen bank run omdat ten allen tijde alle saldo's gedekt zijn (op het evt. geroofde na) omdat er geen leningen of rente wordt verstrekt. Als er wel een groot aantal BTC wordt vermist hebben ze wel een probleem, dat zou zonder een lening van iemand anders faillissement kunnen betekenen. Dit heeft voor de rest weinig invloed op de economie omdat er meerdere beurzen zijn, maar in theorie heeft Bitcoin ook zonder beurzen waarde.

BTW, Mt. Gox gebruikt al maanden geen md5 zonder salt meer, nieuwe gebruikers hebben de sterkere variant, oude gebruikers bij wijzigen van het wachtwoord. In beide vormen is md5 niet bijzonder sterk als je een zwak wachtwoord gebruikt natuurlijk, zo zijn er meerdere gebruikers geweest die hetzelfde wachtwoord gebruikten als hun E-mail adres (en hetzelfde ook voor hun E-mail...). Daarnaast heeft Mt. Gox vorige week al een CSRF probleem gedicht (evenals Tradehill) en gisteren na de hack ook Clearcoin (een escrow service van een van de hoofdontwikkelaars, hij heeft ook bij Google de door de Mt. Gox hack getroffen accounts geflagged), en Britcoin vond een probleem in de PHP/SQL code. Er zal denk ik bij alle exchanges goed naar de beveiliging worden gekeken

Het zal nog wel niet afgelopen zijn, de volgende grote hack wordt op protocol niveau verwacht (er schijnt op DEFCON 19 een voordracht gehouden te worden hierover). Dit is op zich niet erg, het is beter dat kinderziektes en hacks nu, in de experimentele fase plaatsvinden.