Bitcoin - teknisk diskussion

Som väntat ^___________^

Bitcoin crashade inte i egentlig mening. En exchange blev hackad och en person la en sälj-order som åt upp varenda köporder med god marginal enda ner till $0.01. Värdet sjönk inte på någon annan exchange och det hoppade även upp direkt på den hackade siten när köpare väl kunde lägga nya bud (sidan låste sig i flera minuter när detta hände).

Man kan se hela händelseförloppet live här:
http://www.youtube.com/watch?v=iYhMyPAbaGw

Med det sagt, Mt Gox (exchange-siten i fråga som är den största i bitcoins ekosystem och hanterar flera miljoner dollar) har slarvat ordentligt med säkerheten. Hela databasen med användarnamn och hashade lösenord har läckt ut och de har nu låst siten i väntan på att användare ska verifiera sina konton. Dessutom är det uppenbart att de har ljugit kring vissa detaljer om hacket. Så väldigt många sitter just nu med sina bitcoins frysta och förtroendet för Mt Gox lär vara i botten just nu. Jag tror detta är mycket mer negativt för framtiden än att en person valde att sälja bitcoins för $0.01. Jag förväntar mig en bank run så fort siten öppnar igen (om den gör det) och sen får vi se vad som händer med bitcoins värde.

Jag ser det här som det bästa testet för bitcoins viabilitet än så länge.

https://support.mtgox.com/entries/20208066-huge-bitcoin-sell-off-due-to-a-compromised-account-rollback

Det finns mycket i Mt Gox historia som inte håller. Vissa uttalanden har bevisats vara rena lögner medan andra bara verkar väldigt osannolika.

Bl.a:

Mt Gox stod länge fast vid att det enbart var ett konto som hade hackats och senare läckte databasen med alla kontons användarnamn, mail och hashade lösenord.

Många av de hashade lösenorden upptäcktes senare vara postade på andra forum så tidigt som två dagar innan attacken. Dessutom är det väldigt många som klagat på stulna pengar långt innan detta. Mt Gox har starkt hävdat att det är användarnas säkerhet som brustit men nu i efterhand så är detta inte alls lika självklart. Databasen kan mycket väl ha cirkulerat dolt på internet längre än de dagar man kunnat spåra den publikt.

Hela historian om att en person skulle ha 500.000 BTC på Mt Gox stinker från början. Detta är en tolftedel av alla bitcoins som existerar. Det är osäkert om någon ens äger så mycket BTC (vissa är bevisat nära dock) och även om någon gör det så är det väldigt osannolikt att man skulle spara dessa "i molnet" snarare än på en krypterad offline-källa med flera back-uper.

Mt Gox hävdar som sagt att det inte var en SQL injektion, utan en tredjepart med tillgång till systemet som blivit kompromisserad. Även om detta är sant så är det oerhört ansvarslöst att ge dem tillgång till hela systemet. Det är standard att undanhålla viktiga filer såsom kunders användarinfo och liknande.

Under attacken så kan man se en transaktion på över 400.000 BTC i blockkedjan. Det spekulardes länge ifall någon hade lyckats sno detta från Mt Gox. Men Mt Gox sa att de var de själva som flyttade pengarna till en offline-plånbok. Mt Gox uttalande verkar stämma (men är ej bevisat, vilket skulle vara enkelt) av det jag kunnat utläsa från rykten och uttalanden från olika parter. Men i vilket fall som helst så förstår jag inte hur de inte kunde ha majoriteten av pengarna offline från början. Oerhört onödigt att ens utsätta sig för risken.

Av diverse rykten och chatloggar som cirkulerat så finns det även många som pratar om att Mt Gox visst varit känsliga för SQL-injektioner trots att de nekar. Den mest centrala är en injektion som gjorde att en attackerare kunde skriva in ett godtyckligt antal bitcoins i databasen till sitt konto. Enligt ryktena skulle Mt Gox ha patchat detta den 16e d.v.s. innan attacken men fortsatt förneka svagheter. Det finns dock inget som hindrar att någon hade skrivit in ett saldo på 500.000 bitcoins innan patchen och hade kvar dem. Detta scenario ser jag som mycket troligare än att någon myktisk person som inte tillkännagett sig själv förvarade 500.000 på Mt Gox.

Så det som jag tror hände var helt enkelt att någon ökade sitt saldo med 500.000 genom en SQL-injektion innan buggen enligt rykten patchades. Personen tog säkert ut lite bitcoins från Mt Gox men inte särskilt mycket i och med gränsen på max $1000 per dag. När personen tröttnat så bestämde han sig för att lägga en säljorder på 500.000 BTC (som inte ens existerade förutom i Mt Gox databas) och därefter kom kraschen.

Är det här din egen teori eller har du någon källa?

SQL-injection gör väl bara att man kan köra kod på maskinen, sedan måste man ju forcera BC-kryptot oxå.


Fast detta rimmar ju lite dåligt. Om vederbörande visste om gränsen hade h*n väl inte försökt sälja allt på en gång.

(OBS: säger inte att Mtgox inte slarvar lite med sanningen!)

Stämmer inte, pengarna existerar tveklöst. Ägaren av Mt Gox har dessutom bevisat att han fortfarande har pengarna i sin ägo.

http://pastebin.com/5R8MAdFz
http://blockexplorer.com/tx/3a1b9e330d32fef1ee42f8e86420d2be978bbe0dc5862f17da 9027cf9e11f8c4

hate to say...

Det där säger ju ingenting om vad som orsakade den massiva säljordern, bara att ingen lyckades ta ut någon ansenlig summa från Mt Gox. Läser du mitt inlägg igen så ser du också att jag trodde precis detta, även om det inte var bevisat när jag skrev mitt inlägg.

Precis. Men alla interna köp och sälj av bitcoins är också bara kod på maskinen. Endast uttag och insättningar registreras i bitcoin-nätverket. Det jag säger är att någon troligen lyckades ändra i Mt Gox databas så att istället för att det stod 0 BTC vid sitt saldo så stod det 500.000 BTC. Detta innebär alltså att ifall alla skulle försöka ta ut sina bitcoins så skulle det ta stopp när det var 500.000 kvar då Mt gox inte har täckning för alla, men det skulle gå alldeles utmärkt att sälja och köpa bitcoins, då detta bara innebär förändringar i deras egen databas.

Detta är bara en teori men jag anser dock att det är det troligaste scenariot av de teorier jag har sett.

Det vi vet säkert är:

Någon la en massiv säljorder på 500.000 BTC som åt upp alla köp-ordrar. Enligt Mt Gox så kom alla dessa bitcoins från ett hackat konto.

Jag ser det som väldigt osannolikt att någon över huvud taget är så korkad att han sparar närmare 10 miljoner dollar på en okänd människas hobby-webserver. Jag ser det som mycket troligare att någon faktiskt lyckades hacka Mt Gox databas och att de nu förnekar detta. Speciellt då Mt Gox har bevisats ljuga om andra säkerhetsbrister.

Det som även talar för en SQL injektion är dessa två väldigt intressanta chat-loggar:
http://privatepaste.com/e4bacfae37
http://privatepaste.com/93e8a9cd64

Jag ser inte vad försäljningen har med gränsen att göra.

Hate to say what? Mina bitcoins tradas fortfarande för 7x vad jag köpte dem för. Är det det du syftar på?

Säger inte att bitcoin inte kommer krascha då jag faktiskt anser att chansen är relativt stor fortfarande, och det största testet än kommer nog nu när Mt Gox går online igen. Men du bör läsa på vad som faktiskt hände innan du uttalar dig. Än så länge är bitcoinvärdet nästan oförändrat sen hacket. Att en person sålde (stulna) bitcoins för $0.01 har inte så mycket med det egentliga värdet att göra.

Det är möjligt att vi pratar förbi varandra på något sätt, men jag tror inte att det du säger stämmer.

http://en.wikipedia.org/wiki/Bitcoin#Transactions



Det var väl en "early adopter" (om det nu var så det gick till).

Så här funkar Mt Gox.

När du sätter in bitcoins på Mt Gox så skickar du bitcoin till hans plånbok och blir krediterad med samma summa hos ditt Mt Gox konto (här sker en transaktion i bitcoin-nätverket). Jag sätter sedan in lite dollar på mt gox bankkonto och blir därmed krediterad motsvarande USD-summa på mitt Mt gox konto. Du säljer sedan dina bitcoins till mig för USD. Här händer ingenting i bitcoin-nätverket. Alla bitcoins ligger kvar i Mt Gox plånbok. Det enda som ändras är våra dollar- respektive BTC-saldon i Mt Gox databas. Stod det 10 BTC hos dig förut så står dig 10 BTC hos mig nu. Det är först när jag tar ut BTC från Mt Gox som bitcoin-nätverket blandas in.

BTC är precis som cash. Mt gox är som en bank i det här avseendet. Och principen här är densamma som för vanliga banker. Ifall jag sätter över 1000 SEK från mitt Nordea-konto till min kompis Nordea-konto så innebär detta inte att någon bankman kommer gå och flytta 1000 SEK från ett fack till ett annat. Det är bara förändringar i Nordeas interna databas.


Det finns troligtvis inte ens en enda early adopter med så mycket bitcoins. Den högsta bekräftade rikedomen hos en enskild person är ca 400.000 BTC. Vi pratar här om 1/12 av alla bitcoins som existerar. Har man så mycket pengar så garanterar jag att man sparar dem med multipla backuper offline någonstans. Skulle du låta 10 miljoner dollar ligga och skräpa hos en bekant som du bara känner lite ytligt? Det är i alla fall vad Mt gox hävdar hände.

Ok, då är jag med.


Det låter osannolikt, men värdet wobblar ju en del. Fick man de "pengarna" gratis så kanske det inte känns så viktigt.

Det är väldigt osannolikt. Och tänk då också på chatloggarna jag postade tidigare, Mt Gox arrogans mot tidigare säkerhetsbrister och att de har bevisats ljuga om andra saker. Det är fortfarande obevisat men jag ser det som mycket sannolikare att någon faktiskt lyckades få skriv-rättigheter till Mt Gox databas.