बिटकॉइन एटीएम बग ने चोरों को क्रिप्टोक्यूरेंसी निकासी की अनुमति दी
बिटकॉइन एटीएम मशीनों में सुरक्षा कमजोरियों की एक श्रृंखला से पता चला है कि साइबर अपराधी उपयोगकर्ताओं से मूल्यवान टोकन कैसे चुरा सकते हैं।
एक बयान में, विचाराधीन एटीएम के निर्माता, जनरल बाइट्स ने कहा कि एक अज्ञात हमलावर ने डिवाइस में एक शून्य-दिन की भेद्यता की खोज की और इसका उपयोग उपयोगकर्ता खातों से क्रिप्टोकरेंसी को निकालने के लिए किया।
जैसा कि कंपनी ने समझाया, इन एटीएम को रिमोट क्रिप्टोग्राफिक एप्लिकेशन सर्वर (सीएएस) द्वारा नियंत्रित किया जाता है, और जो भी चोरी के पीछे था उसे सीएएस में एक छेद मिला।
“एक हमलावर सीएएस प्रशासन इंटरफ़ेस के माध्यम से सर्वर पर एक डिफ़ॉल्ट स्थापना और प्रारंभिक प्रशासनिक उपयोगकर्ता बनाने के लिए उपयोग किए गए पृष्ठ पर एक यूआरएल कॉल के माध्यम से दूरस्थ रूप से एक प्रशासनिक उपयोगकर्ता बनाने में सक्षम था।” जनरल बाइट्स ने कहा। “20201208 के संस्करण से शुरू होने वाले सीएएस सॉफ्टवेयर में यह भेद्यता मौजूद है।”
सिक्कों का मोड़
फिर, जब कोई एटीएम का उपयोग करके क्रिप्टोकरेंसी जमा करने या निकालने का प्रयास करता है, तो धन हैकर के वॉलेट में स्थानांतरित कर दिया जाता है।
कंपनी ने आगे बताया, “दोतरफा एटीएम ने हमलावर के बटुए में सिक्के स्थानांतरित करना शुरू कर दिया क्योंकि ग्राहकों ने एटीएम में सिक्के भेजे थे।”
कंपनी को एक उपयोगकर्ता द्वारा इत्तला दे दी गई थी जिसका धन चोरी हो गया था। यह ज्ञात नहीं है कि इस भेद्यता से कितने लोग प्रभावित हुए या चोरों ने कितनी क्रिप्टोकरेंसी चुराई।
लेकिन तब से पैबंद मुक्त। कंपनी ने अपने सीएएस को 20220531.38 और 20220725.22 संस्करणों में अपडेट किया है और एटीएम सेवा प्रदाताओं को पैच लागू होने तक डिवाइस वापस लेने के लिए कहा है। अधिकांश अनपेक्षित उपकरण, लगभग 20, कनाडा में हैं।
इसके अतिरिक्त, बीप कंप्यूटर जैसा कि बताया गया है, हमला पहले स्थान पर संभव नहीं होता। सर्वर इस बीच में फ़ायरवॉल कनेक्शन स्थापित करने के लिए केवल विश्वसनीय IP पतों को ही अनुमति दें।
के जरिए बीप कंप्यूटर (नए टैब में खुलता है)
