Xakep #305. Многошаговые SQL-инъекции
ИБ-специалисты и просто умные люди совсем не просто так предостерегают криптовалютных инвесторов от разглашения информации о своих доходах. Как правило, подобным грешат блогеры, не упускающие возможности похвастаться своим криптовалютным портфелем и заработанными на биржах и инвестициях суммами.
Инцидент, произошедший с блогером, ютюбером и инвестором Яном Балина (Ian Balina) наглядно иллюстрирует, почему информацией о своих доходах не стоит хвастаться в интернете. Несколько дней назад Балина стримил на YouTube очередное ICO-ревью и прямо во время трансляции обнаружил, что его взломали.
Инвестор заметил, что не может войти в Google Spreadsheet, где он отслеживал ICO (очевидно, аккаунт на тот момент уже был скомпрометирован), а зрители в чате стали сообщать, что с его аккаунтов исчезают средства. Балина был вынужден экстренно прервать стрим, чтобы разобраться в происходящем.
Ранее блогер нередко хвастался в социальных сетях своим криптовалютным портфелем. К примеру, в минувшие выходные он опубликовал в Twitter скриншот своих миллионных криптовалютных «сбережений».
Portfolio snapshot.
— Ian Balina (@DiaryofaMadeMan) April 14, 2018
-
Catch more of stories on Instagram at @diaryofamademan. pic.twitter.com/PpDIrBNcjx
Как выяснилось, странности во время стрима действительно оказались взломом. В общей сложности блогер лишился примерно 2 000 000 долларов в криптовалютном эквиваленте. Впрочем, Балина пишет, что деньги его не волнуют, а свой урок он выучил и запомнил. Теперь он просит своих подписчиков помочь поймать злоумышленников (правоохранительные органы тоже работают над расследованием случившегося).
Crypto Family, I need you now more than ever. I ended today's live stream b/c I am being hacked. I'm not worried about the money. I learned my lesson. I only care about catching the hacker. Please email any information to ibalina88@gmail.com. Thank you all the support. $ETH $BTC
— Ian Balina (@DiaryofaMadeMan) April 16, 2018
Балина рассказал, что действительно допустил ряд ошибок и мало задумывался о безопасности своих средств. В частности, его основной адрес электронной почты был связан со старым, заброшенным email-адресом, принадлежащим блогеру еще со времен колледжа. Судя по всему, злоумышленники использовали этот ящик для сброса и восстановления пароля от основного аккаунта. Кроме того, Балина хранил свои публичные и персональные ключи прямо в Evernote, хотя и под защитой пароля. После взлома основного почтового ящика злоумышленники без труда сбросили пароль и от Evernote и получили доступ к средствам инвестора.
«Я помню, как получал письма о том, что [старый аккаунт] скомпрометирован и пытался связаться со службой безопасности моего колледжа, чтобы решить проблему, но вопрос не удалось решить быстро, и я сдался, счел, что это лишь старый email», — рассказывает Балина.
