BGP hijacking: Χθες το βράδυ, οι χρήστες του MyEtherWallet άρχισαν να παρατηρούν κάτι περίεργο. Με τη σύνδεση τους στην υπηρεσία, εμφανιζόταν ένα πιστοποιητικό SSL χωρίς υπογραφή και φυσικά μια προειδοποίηση.
Ήταν ασυνήθιστο, αλλά ήταν το είδος του προβλήματος που συνήθως μερικοί αντιδρούν χωρίς να σκέφτονται.
Όποιος από αυτούς όμως έκανε κλικ σε αυτή την προειδοποίηση του πιστοποιητικού, ανακατευθύνθηκε σε ένα διακομιστή στη Ρωσία, ο οποίος άδειασε το ψηφιακό πορτοφόλι (wallet) του χρήστη. Κρίνοντας από τη δραστηριότητα των συναλλαγών, οι επιτιθέμενοι φαίνεται να αποκτήσει ήδη περισσότερα από 17 εκατομμύρια δολάρια σε Ethereum.
Το MyEtherWallet επιβεβαίωσε την επίθεση σε μια δήλωση του στο Reddit.
“Αυτή τη στιγμή βρισκόμαστε στη διαδικασία επαλήθευσης των εξυπηρετητών για την επίλυση αυτού του προβλήματος το συντομότερο δυνατό”, δήλωσε η εταιρεία στους χρήστες. “Συμβουλεύουμε τους χρήστες να τρέχουν ένα τοπικό (offline) αντίγραφο του MyEtherWallet.”
Οι επιτιθέμενοι δεν φαίνεται να είχαν παραβιάσει το ίδιο το MyEtherWallet, αλλά χρησιμοποίησαν μια υποδομή του Διαδικτύου, παρεμποδίζοντας τα αιτήματα DNS του myetherwallet.com. Έτσι έκαναν τον Ρώσικο server να φαίνεται σαν ο νόμιμος ιδιοκτήτης της διεύθυνσης.
Για να παρεμποδίσουν αυτά τα αιτήματα, οι hackers χρησιμοποίησαν μια τεχνική γνωστή σαν BGP hijacking. Η συγκεκριμένη τεχνική εξαπλώνει εσφαλμένες πληροφορίες δρομολόγησης για την υποκλοπή της κίνησης κατά τη μεταφορά. Συνήθως, η χρήση ενός τέτοιου hijacker απαιτεί την εισβολή σε διακομιστές BGP που λειτουργούν από κάποιον ISP (πάροχο υποδομής διαδικτύου). Σε αυτή την περίπτωση, το hijacking έγινε σε κάποιον ISP από το Σικάγο, αν και η ρίζα του κακού είναι ακόμα άγνωστη.
Μέχρι στιγμής, η MyEtherWallet είναι η μόνη επιβεβαιωμένη υπηρεσία που έχει πραγματοποιηθεί αυτού του είδους η επίθεση.
Να αναφέρουμε ότι το BGP hijacking είναι εδώ και πολύ καιρό γνωστό σαν μια θεμελιώδης αδυναμία στο διαδίκτυο. Η ιστορία είναι ένα πολύ καλό παράδειγμα για το τι μπορεί να συμβεί όταν λειτουργούμε αυτοματοποιημένα, ή παρορμητικά χωρίς να σκεφτόμαστε.
Δείτε το πιστοποιητικό που χρησιμοποιήθηκε:
