Quote from: ioxoi on May 20, 2014, 06:50:38 PM

Por lo que comenta usa doble factor de autenticación, basado en hojas y no en móvil, si buscamos formas de vulnerar a este usuario (lo siento, te toca el papel de usuario ;-), el vector para este ataque necesita:
1) Comprometer el OTP, mediante un ataque:
   1.1) físico o local, vamos que alguien ha visto tus hojas y tiene una copia.
   1.2) en la incialización de OTP.
   1.3) un man in the middle.
   1.4) captura de la semilla.
2) ademas de comprometer el OTP (hojas de papel) también se ha comprometido su password.

1.1) un ataque físico o local no es descabellado, piensa donde guardas tus hojas por si acaso tienes "un amigo" cerca, también vigila cosas como webcams, cámaras de seguridad, etc. en principio lo veo con probabilidad baja, ya que además necesitan la password (ojo a las cámaras, podrían ser la respuesta incluso estar vulneradas)
1.2) este es el caso de capturar el puerto de impresión o tener vulnerado el equipo o el canal de comunicaciones, muy poco probable.
1.3) Este es quizás el más común, es el equivalente a conseguir desviar el tráfico para poder ser analizado, dado que localbitcoins usa ssl siempre, o estan dentro del navegador o han tenido que cambiar el canal https a http, no es trivial pero existen posibilidades para hacerlo, deberías revisar tu equipo, como usas windows descarga las herramientas de sysinternals de MS, te sera de utilidad Autoruns, filemon, tcpview, portmon, psview, etc. otra cosa es como han llegado a comprometer o capturar tu tráfico, piensa en cualquier ejecutable que te haya llegado por correo, llaves usb encontradas o prestadas, etc, esta es la vía más probable, para tenerlo claro un forense de tu equipo te dará alguna pista.
Una cosa que no me cuadra, es que si han comprometido tu equipo, tendrían tu wallet y la password de este, acceso a tu banco, etc, ¿para que ir a localbitcoins si se los pueden llevar todos?, esto es raro, o están en la red o no me cuadra. ¿por cierto no te conectaras por redes publicas o de terceros?, si es una red corporativa, pregunta si han tenido algún incidente de seguridad que pueda tener que ver con tu caso (por defecto no te lo vana decir)
1.4) es el caso de que hayan comprometido localbitcoins, como comenta dserano5, es poco probable, sería interesante que localbitcoins diera un listado de los últimos accesos, Ips, navegador, etc. el atacante antes de dar el ataque final, a debido verificar todos los accesos previamente.

2) si han comprometido además tu password ... algo me dice que en tu red hay algo, las trampas suelen funcionar, manda alguna contraseña de una cuenta de gmail (creo que registra todos los accesos, o mejor usa uno al que tengas acceso a los logs) y cosas por el estilo, algo que le pueda interesar, aunque después del ultimo ataque "debería" haber desaparecido.

Por cierto, y si nos esta leyendo, saludos.

Gracias ioxoi, por desglosar cuales han podido ser las vias principales del robo.

Te respondere a la mayoria de cosas que comentas, si se me olvida algo o tienes alguna duda me dices Wink

:

1.1 Sobre el ataque fisico es decir que mis hojas hayan sido comprometidas y alguien las haya visto, esto seria lo primero que quedaria descartado completamente. No tengo ninguna camara ni nada por el estilo en el cual hayan podido ser visualizadas las claves.

Sobre a que tipo de linea me conecto, se trata de una linea Adsl propia.

1.2 Esto podria llegar a ser, pero porque hacerlo despues de tener las hojas que llevaba usando desde hacia mas de 2 meses?

1.3 Sobre esta via lo unico te puedo decir de momento antes de que ponga en marcha y investigue un poco con los programas que me comentas. Es que efectivamente en dicho ordenador hacia uso de también la banca online, ademas de los monederos de Litecoin y Bitcoin.
Y una cosa importante aqui tambien a resaltar es que tenia otro monedero de una ALT coin que no era mucho unos 40-50$ al cambio, sin cifrar y que en el momento de ocurrirme dicho suceso, me esperaba que tambien me hubieran sido robados y para nada, cuando actualice dicha cadena de bloques seguian ahi.

1.4 Respecto a pedirle mas datos a Localbitcoins estoy de acuerdo que una vez me vuelva a poner en contacto con ellos sin duda se lo pediria.

2. Sobre este punto decirte que mi correo no fue vulnerado o al menos no hay ninguna IP que no sea la mia desde el cual se conecto.

Quote from: roterdam on May 20, 2014, 08:04:36 PM

pero ....a ver, revisando la conversacion creo entender que todavia no te han enviado el log completo con los registros de operaciones y direcciones ip y navegador.
si esto es asi, dimelo para que podamos requerirselas con la mayor urgencia, esto es lago que estan obligados a facilitarte, no vale una mera respuesta de que segun ellos ha podido ser un phishing.
hazmelo saber !!!

Atraves del soporte español si que me lo hiceron saber.

La Ip es al siguiente: 173.254.223.119

Por lo que he visto se trataria de alguna empresa de hosting o algo por el estilo que tienen o tendran alquilado imagino.

Dicha IP intento acceder una primera vez sin exito. Como aqui puedes ver.

May 11, 2014, 8:30 p.m. Failed login attempt 173.254.223.119 Mozilla/5.0 (Windows NT 6.1; rv:31.0) Gecko/20100101

Para posteriormente:

May 11, 2014, 8:36 p.m. Two-factor login 173.254.223.119 Mozilla/5.0 (Windows NT 6.1; rv:31.0) Gecko/20100101

May 11, 2014, 9:13 p.m. Send from wallet 173.254.223.119 Mozilla/5.0 (Windows NT 6.1; rv:31.0) Gecko/20100101

( Decir que aunque en Log de registros y operaciones que me envio Localbitcoins aparece como Two-factor login, como os comente una vez entre a mi cuenta despues del robo el Two-factor estaba desactivado )

Voy a intentar redactar una respuesta para el soporte ingles, roterdam me esta echando una mano que le agradezco desde aqui también Wink

Asi que haber si pudieramos tener alguna respuesta mas por parte de Localbitcoins asi como alguna averiguación o investigacion más por su parte.

Saludos a todos los que esteis leyendo y esteis pendientes del caso, asi como todo el apoyo y ayuda en general Wink