Blink: через брешь в админ-инструментах захвачены 35 аккаунтов, выведено 6.61 BTC, у 3817 аккаунтов просмотрены контактные данные
19 сентября атакующий использовал ошибки проверки прав в административных инструментах Blink: любой владелец бесплатного аккаунта мог выдать себе полномочия поддержки, менять email и телефон клиентов и входить в их аккаунты. Из 24 аккаунтов выведено около 6.61 BTC с операционного кошелька; средства клиентам возмещены акционерами Blink, холодное мультисиг-хранилище и несамостоятельные... некастодиальные аккаунты не затронуты. Дополнительно просмотрены данные ещё 3817 аккаунтов — в части случаев телефон или email; имена, документы, пароли и seed, по заявлению компании, не раскрывались. Все 24 опустошённых аккаунта были без двухфакторной аутентификации, а девять аккаунтов с 2FA атакующий вывести не смог.
Прямо сейчас включите двухфакторную аутентификацию в настройках безопасности Blink и отдельно на своём email. Утёкшие телефоны и адреса — готовая база для адресного фишинга: игнорируйте любые письма и SMS об этом инциденте со ссылками, Blink пишет затронутым только внутри приложения и никогда не просит PIN, пароль, код доступа или seed-фразу. Подробный отчёт и условия вознаграждения — по ссылкам ниже.
Источники:
Оповещение оказалось полезным? Поддержи проект!
Не пропусти следующее оповещение.