211service.com
De bekymrende huller i MtGox' beretning om, hvordan det mistede $600 millioner i Bitcoins
Den 10. februar annoncerede en Bitcoin-børs kaldet MtGox, at den havde mistet omkring 850.000 bitcoins, hvoraf 750.000 tilhørte dens kunder. På det tidspunkt handlede bitcoins til $827 stykket, hvilket gør værdien af tabet svarende til $620 millioner.
Det er en betydelig mangel efter enhvers standarder. Men MtGox havde en forklaring. I en pressemeddelelse den dag meddelte den, at den havde været offer for et bedrageri, hvor bitcoins var blevet stjålet af hackere.
Svindlen, sagde virksomheden, var et resultat af et problem kendt som en transaktions-smidbarhedsfejl. Dette giver ondsindede brugere mulighed for at overføre bitcoins til deres konti, mens de får MtGox til at tro, at overførslen var mislykket. Derfor gentog MtGox disse transaktioner, så det samlede beløb blev overført to gange.
I dag sår Christian Decker og Roger Wattenhofer ved det schweiziske føderale teknologiske institut i Zürich tvivl om denne version af begivenhederne. Disse fyre har overvåget bitcoin-transaktioner siden januar 2013 på en måde, der giver dem mulighed for at opdage formbarhedsfejltransaktioner. Og de siger, at det samlede antal svigagtige overførsler i den tid er flere størrelsesordener mindre end MtGox hævder.
Decker og Wattenhofer begyndte at overvåge Bitcoin-netværket i januar 2013. De registrerede alle transaktioner, såvel som dem der blev blokeret, ved at oprette forbindelse til omkring 1000 noder i Bitcoin-netværket. Det er omkring 20 procent af det samlede antal.
Når en transaktion foretages, spredes detaljerne gennem netværket og fortæller andre noder, hvem der nu ejer bitcoins. Når transaktionen mislykkes, spredes nyheden om dette også, så alles optegnelser kan opdateres.
Formbarhedsfejlen giver en ondsindet bruger mulighed for i al hemmelighed at ændre disse detaljer, så den oprindelige afsender tror, at transaktionen er blevet blokeret, mens alle andre mener, at den er lykkedes. Men Decker og Wattenhofer var i stand til at registrere, hvornår dette skete, ved at se efter tilfælde, hvor de samme transaktioner var forskellige i de relevante detaljer.
I løbet af det år eller deromkring, hvor de har indsamlet deres data, har Decker og Wattenhofer observeret i alt 302.000 bitcoins involveret i formbarhedsangreb. Langt de fleste af disse skete dog efter MtGox's pressemeddelelse den 10. februar og ser ud til at være copycat-angreb udløst af nyheden om, at de kunne lykkes. Disse kan formodentlig ikke have involveret MtGox, fordi det havde forhindret sine kunder i at få adgang til deres konti på det tidspunkt.
Antallet, der involverede MtGox før da, var langt færre. Kun 1.811 bitcoins var i angreb, før MtGox stoppede brugere fra at trække bitcoins, siger Decker og Wattenhofer.
Hvad mere er, var omkring 75 procent af disse angreb ineffektive. Som sådan kunne knap 386 bitcoins være blevet stjålet ved hjælp af formbarhedsangreb fra MtGox eller fra andre virksomheder, konkluderer de. Dette er tre størrelsesordener mindre end det antal, MtGox hævder.
Det er en interessant undersøgelse, der efterlader et hul i MtGox' beretning om, hvad der skete. Selvom alle disse angreb var rettet mod MtGox, skal MtGox forklare, hvor 849.600 bitcoins befinder sig, siger Decker og Wattenhofer.
En besynderlig følge af denne historie er, at MtGox for et par uger siden annoncerede, at de havde fundet 200.000 Bitcoins på en gammel harddisk. Disse var i hvert fald ikke blevet stjålet. Restens opholdssted er endnu ukendt
Dette er et spektakulært sammenbrud. I 2013 håndterede MtGox 70 procent af alle bitcoin-transaktioner. I dag har det suspenderet handel, lukket sin børs og indgivet konkursbegæring.
Vi har sendt en e-mail til MtGox for en kommentar, men har ikke hørt tilbage. Det er klart, at der kommer mere til denne historie.
Ref: http://arxiv.org/abs/1403.6676 : Bitcoin Transaction Formbarhed og MtGox