Hakerzy przejęli 64 tysięcy koparek Bitcoina. Firma która miała ich pilnować przyznaje się do wpadki

Nieznany sprawca przejął minionej nocy kontrolę nad koparkami Bitcoina (BTC) o łącznej mocy około 13 EH/s (eksahaszy na sekundę), skierował ją do puli wydobywczej OCEAN, a wypłaty przypisał do własnego adresu. To mniej więcej 1,4% mocy obliczeniowej całej sieci (!). Według wstępnych szacunków może chodzić nawet o 64 tysiące maszyn. Furtką okazało się oprogramowanie do zarządzania farmami, które sprzedaje amerykańska firma Luxor. Spółka już przyznała się że zawaliła sprawę.

Noc żywych krypto koparek

Atak rozpoczął się około godziny 3:00 czasu polskiego. Od razu był widoczny w publicznych statystykach- moc puli OCEAN podskoczyła nagle z okolic 40 EH/s do prawie 50 EH/s. Pierwszy alarm podniosła CoreX Hosting, firma z USA która trzyma koparki klientów w swoich halach. Jeszcze przed piątą rano pod adresem hakera pracowało 13 EH/s, a ludzie z CoreX w miarę możliwości przestawiali maszyny z powrotem. Rankiem około godziny 7:40 hosting ogłosił koniec ataku: na koncie napastnika zostało już tylko 100 PH/s (petahaszy na sekundę), czyli niespełna procent całej wcześniejszej mocy.

Wybór puli nie był przypadkowy. Do kopania w puli OCEAN nie trzeba zakładać konta, bo loginem jest po prostu adres Bitcoina na który pula wysyła wypłaty. Haker nie musiał więc się nigdzie rejestrować- wystarczyło podmienić adres w ustawieniach koparek.

Co ciekawe, sama OCEAN ma już na swoim koncie podobną historię. W sierpniu, przy nieudanym forku BIP-110 (Bitcoin Improvement Proposal, propozycja ulepszenia Bitcoina), pula przez mniej więcej 18 godzin kierowała moc części klientów na mniejszościowy łańcuch, choć ci wybrali sieć główną. Skończyło się zwrotem w wysokości około 0,3 sztuki BTC.

Część operatorów zgłaszała nieautoryzowane zmiany puli już kilka dni wcześniej. Czy była to rozgrzewka tego samego sprawcy, na razie nic na ten temat nie wiadomo.

Luxor przyznaje się do błędu

Jeden z poszkodowanych operatorów jeszcze w nocy wskazał palcem na Commandera, czyli program Luxora do zarządzania flotą koparek. Kilka godzin później firma przyznała się do wpadki. Według komunikatu firmy atak dotknął „nieco ponad tuzina” kont klientów, a inżynierowie załatali lukę w ciągu dwóch godzin i zaczęli przywracać maszynom ustawienia pierwotne. Pula Luxor Pool i firmware LuxOS miały pozostać nietknięte, a z systemów spółki nie wyciekły żadne dane. Wspomnieli też że atak był prawdopodobnie wspomagany AI.

Napastnik uderzył dokładnie w to, do czego Commander służy. Program w obecnej, chmurowej wersji działa dopiero od kwietnia i pozwala jednym poleceniem zmienić ustawienia puli na tysiącach koparek. Agent zainstalowany na farmie łączy się z serwerami Luxora i stamtąd przyjmuje rozkazy. Ten, kto przejmie ten kanał, może przestawić całą halę.

Luxor obiecał że każdy poszkodowany klient otrzyma pełną zapłatę za przekierowaną moc: „tak, jakby kopała normalnie”. Nie podali jednak ani kwoty, ani terminu wypłaty. Prezes Nick Hansen skwitował całą sprawę krótko: „Powierzyliście nam swoją flotę koparek i musimy się poprawić”.

Haker nie wykopał bloku, ale jeszcze może zarobić

Przez kilka godzin ataku przejęta moc nie trafiła żadnego bloku, a adres napastnika na moment pisania tego artykułu nie otrzymał jeszcze ani jednego satoshi. To jeszcze nie musi oznaczać końca całej sprawy. OCEAN rozlicza górników w systemie TIDES, w którym wykonana praca wyczekuje w tzw. oknie nagród i jest opłacana gdy dowolny uczestnik puli znajdzie blok. Panel puli szacował należność dla adresu hakera na około 0,66 BTC, czyli przy obecnym kursie ponad 40 tys. dolarów.

Pociesza fakt, że OCEAN płaci prosto z transakcji coinbase (pierwszej transakcji w każdym bloku, nie mylić z giełdą Coinbase). Każdy ruch na tym adresie będzie więc widoczny w łańcuchu bloków jak na dłoni.

Górnicy stracili natomiast bezpowrotnie czas pracy maszyn, i to w wyjątkowo trudnym momencie. Kurs Bitcoina spadł w ostatnich dniach poniżej 64 tys. dolarów i dopiero próbuje odbić, a trudność wydobycia przy korekcie 13 listopada zjechała aż o 9,1 proc., bo z sieci ubyło mocy obliczeniowej. Luxor zapowiedział też pełny raport techniczny, ale nie podał, kiedy go opublikuje.