Quote from: ervalvola on February 11, 2014, 10:25:36 PM

mmm io non sono uno sviluppatore, quindi mi devo fidare di quello che leggo su questo forum... 'sto bug era o non era noto da 2 anni? : P

Io più che bug lo chiamerei "vulnerabilità".
Allo stesso modo per cui un sistema che crolla con un ddos non ha un bug, quanto una vulnerabilità specifica.
Il problema evidenziato da mt-gox era noto da tempo ma, onestamente, io fino a oggi mancavo di vederne una implementazione pratica e "redditizia".

Il profitto da questo attacco non è stato nel crollo dei prezzi e nell'acquisto.
Mi auguro, infatti, che quei 3000 BTC a 100$ siano stati l'errore di qualche bot che ha interpretato male il trend discendente.
Il profitto di questo attacco sta nel ricevere doppi accrediti quando prelevi da un exchange colpito.
Per questo il blocco dei withdraw da parte di mt-gox e bitstamp.
Carico 100 bitcoin su bitstamp, lancio l'attacco e creo la nebbia, faccio diverse richieste di prelievo... sperando che alcune di queste passino due volte.
Secondo me questo è un esempio dell'implementazione pratica dell'attacco:
https://bitcointalk.org/index.php?topic=460625.0

A questo punto abbiamo due possibili scenari.
mt-gox ha messo in piedi tutto,attacco compreso, per pararsi il culo.
mt-gox è stato usato come cavia nei mesi precedenti.

La seconda ipotesi spiegherebbe molte cose.
Eventuali problemi di liquidità.
La confusione dell'exchange nel capire dove erano i soldi.
Il blocco dei prelievi.

Un attacco come quello che abbiamo visto oggi non si mette su in due gg.
Devi attivare una botnet, distribuire la versione modificata del vettore d'attacco ecc.
Sicuramente qualcuno, prima dell'attacco di oggi, ha dovuto fare delle prove: testare i codici ecc.

Inizio a credere che queste prove siano state fatte su mt-gox.

Quando mt-gox ha "svelato al pubblico il problema"... se consideriamo valido lo scenario numero due... gli hacker non hanno avuto altra scelta se non scatenare l'attacco in tutta la propria forza, prima che il problema venisse patchato.

Sempre secondo lo scenario 2. Se mt-gox avesse coperto il bug comunicandolo solo agli esperti del BF...
probabilmente piccole quantità di bitcoin avrebbero nel tempo continuato a sparire dagli exchange.
Gox non è sempre stato all'avanguardia, anzi ha usato un wallet non ufficiale modificato alla cazzo.
Onestamente, da un punto di vista di hacking, una delle migliori condizioni per cercare vulnerabilità.
Il problema però ora affligge anche bitstamp (e se stiamo al link che ho portato) anche coinbase...
che, per quanto ne so, utilizzano wallet standard.
Quindi la vulnerabilità è della rete.
Mt-gox è solamente stato il paziente zero.
Se la vulnerabilità fosse stata solamente in mt-gox, bitstamp non avrebbe bloccato i prelievi...

Sempre secondo l'ipotesi 2