Что произошло
Уязвимость закрыта, о компенсациях не сообщалось
В конце августа 2023 года пользователи BitBrowser стали сообщать о краже приватных ключей и средств из криптокошельков. Сначала компания указала в своём сообществе на уязвимость в некоторых версиях WPS для Windows. 26 августа, как пересказывали отраслевые издания, она разослала уведомление: кэш-данные на её серверах взломаны, под угрозой кошельки у тех, кто включал синхронизацию данных расширений, — им посоветовали срочно перевести активы. 29 августа в уведомлении внутри программы компания написала, что злоумышленники атаковали её сервер хранения данных (OSS). По данным одного из этих изданий, кэш расширений с сервера скачивали в начале августа, последняя такая запись в журнале — 2 августа. Пароли к кошелькам из кэша, по его разбору, подбирали по паролям тех же пользователей с других сайтов.
Кто пострадал
> 3 000 кошельков (по данным СМИ)
По словам компании, пострадали только пользователи криптокошельков, под угрозой были те, у кого включена синхронизация данных расширений; остальных атака не затронула. Число пострадавших компания не называла. По данным отраслевых изданий, ущерб понесли больше 3 000 кошельков, наибольшая потеря одного пользователя — до $60 000; кто это посчитал, они не пишут.
Потери
не менее $410 тыс. (SlowMist)
Не менее $410 000 — по оценке основателя SlowMist 27 августа 2023 года; в базе SlowMist Hacked — не менее $520 000, тоже со ссылкой на основателя SlowMist. По данным MistTrack (SlowMist), к 3 сентября через миксер eXch ушли 236,27 ETH (≈ $386 000, 70,6% украденного), к 4 сентября — 307,48 ETH (≈ $502 000, 87% украденного). Сама компания сумму не называла.
Что сделала компания
Компания посоветовала перевести активы и обратилась в полицию: 31 августа показала квитанцию о том, что 27 августа заявление приняло отделение полиции района Чанпин в Пекине, а 14 сентября сообщила, что киберполиция Чанпина возбудила дело. Об итогах расследования она не сообщала. По пересказу отраслевых изданий, компания также связалась с MetaMask, чтобы заморозить кошельки злоумышленника. Директор по информационной безопасности SlowMist 23pds 29 августа написал, что вместе с партнёрами перехватил часть средств. 29 августа в версии 5.0.9 компания усилила защиту синхронизации кэша, отключила её в старых версиях, ввела обязательный пароль для синхронизации данных расширений и временно выключила синхронизацию расширений между профилями — в уведомлении внутри программы она сама связала эти меры с атакой. 8 сентября компания извинилась перед пострадавшими и приложила к посту объявление о сентябрьской скидке до 50% на тарифы — по условиям акции, для всех пользователей. О возмещении украденного она не сообщала.
Источники собраны и проверены редакцией: у каждой цифры в тексте указано, кто её называет.