Tarde o temprano las piezas terminan encajando, sobre todo si hablamos de un problema de seguridad. Y es que todo parece indicar que expertos en seguridad habrían dado con el problema que provocó el robo de una gran cantidad de monederos Bitcoin de usuarios del casino en línea Coinroll. Una configuración deficiente sería el principal causante de todo.
Comienza a ser habitual encontrar servicios que cuyos componentes poseen las contraseñas por defecto o bien carecen de protección frente a acceso no autorizados, y de nuevo tenemos que hacer mención a una base de datos, en esta ocasión MongoDB, en la cual se almacenaba información importante relacionada con los usuarios de este casino en línea, uno de los pocos basados en Bitcoin, permitiendo a los usuarios apostar pequeñas cantidades.
El problema de seguridad hay que sumar que la cuenta de administración poseía la contraseña fijada por defecto tras la instalación, permitiendo no solo el acceso al contenido, sino también a su copiado.
El experto en seguridad Vickery fue por suerte para los responsables del servicio uno de los primeros en detectar el problema, aunque esto no evitó la fuga de fondos de algunos monederos Bitcoin. Este detectó nada más y nada menos que 4.610 cuentas vinculadas a 9.668 monederos virtuales de esta criptomoneda.
También encontró un problema de seguridad asociado al cifrado de las contraseñas de las cuentas. De entrada estas fueron cifradas con el algoritmo SHA256, pero no se añadió ningún tipo de contenido adicional para hacer imposible su recuperación en caso de robo. Esto permite que un atacante pueda realizar la comparación de los hash con el de aquellas que con más comunes y por lo tanto conseguir el acceso a la gestión de la cuenta.
El experto no dudó ni un momento en reportar el problema a los responsables del servicio, cuya respuesta no se hizo esperar demasiado.
Desde Coinroll entonan el mea culpa
Desde el servicio saben que han metido la culpa y se percataron de que algo no estaba funcionando de forma correcta cuando algunos usuarios reportaron que todos los fondos obtenidos en el casino habían desaparecido sin ninguna explicación. Los responsables han pedido disculpas y han ingresado las cantidades que algunos usuarios han perdido, forzando la modificación de las contraseñas para evitar que estas de nuevo sean objeto de robo o de cualquier tipo de gestión no autorizada.
Antes del reporte por parte del experto en seguridad, desde Coinroll no encontraban explicación a la desaparición de los fondos, pero tras la información ofrecida parece que todo lo sucedido comienza a encajar.
Fuente | Softpedia
