Backdoor w BitcoinPaperWallet.com – ofiary straciły minimum 124 BTC

BitcoinPaperWallet.com posiada lukę w kodzie, która umożliwia przejęcie kluczy prywatnych do wygenerowanych portfeli. Użytkownicy strony twierdzą, że stracili miliony dolarów w bitcoinach. 

Jak donosi CoinDesk, informacje o środkach znikających z portfeli stworzonych przez BitcoinPaperWallet.com, pojawiają się w sieci od co najmniej dwóch lat. Portal skontaktował się z kilkoma osobami, które opowiedziały mu o tym jak straciły swoje bitcoiny.

W ciągu minuty zdałem sobie sprawę, co się stało i miałem wrażenie, że spadam, ale nie uderzyłem o ziemię przez kilka minut. Pamiętam, jak chodziłem w kółko po kuchni, jakbym miał zawroty głowy. – mówi osoba o pseudonimie Wandell, z którą rozmawiał Coindesk.

Tuż po północy 7 stycznia tego roku z portfela Wandella zniknęło 14,5 BTC, które kosztowały w tamtym momencie pół miliona dolarów. Stało się to w przeciągu minuty od ich zdeponowania do portfela wygenerowanego przez BitcoinPaperWallet.com. 3 miesiące temu innemu użytkownikowi strony wyparowało ponad 50 bitcoinów. Według twitterowego konta @luxolofinancial, kanadyjskie ofiary witryny straciły ponad 100 BTC do końca 2019 roku.

Strona BitcoinPaperWallet.com umożliwia stworzenie adresu BTC, z kluczem prywatnym zapisanym w pliku PDF, który można następnie wydrukować. Wygląda jednak na to, że osoby korzystające z tego rozwiązania nie mogą czuć się bezpiecznie.

Badania nad BitcoinPaperWallet.com

Colin i Bryan Aulds, którzy prowadzą blog PrivacyPros, chcieli kupić witrynę w zeszłym roku. Powstrzymały ich przed tym doniesienia o kradzieżach z portfeli generowanych na stronie. Wtedy zaczęli też badać sprawę BitcoinPaperWallet.com, a ich wnioski oraz szczegółowy opis śledztwa znalazły się w opublikowanym przedwczoraj wpisie.

Według ustaleń braci Aulds:

Witryna bitcoinpaperwallet [.] com przeprowadza oszustwo związane z opróżnianiem portfeli BTC, w wyniku którego użytkownicy, którzy generują portfele papierowe na stronie, nie są jedynymi posiadaczami kluczy prywatnych do coinów.

Analiza blockchain wykazała, że część bitcoinów, skradzionych z portfeli wygenerowanych na stronie, trafiła na giełdy Binance i Poloniex. Pomimo że ostrzeżenia przed witryną pojawiały się już od 2019 roku (m.in. ze strony MetaMask i MyEtherWallet) sprawa nie zyskiwała dużego rozgłosu. Być może działo się tak dlatego, że osoba stojąca za opróżnianiem portfeli wybierała swoje ofiary i nie atakowała posiadaczy mniejszych kwot.