• IT-Karriere:
  • Services:

Bitcoin: Quellcode aus Mtgox geleakt

Hacker haben Quellcode von der Bitcoin-Börse veröffentlicht. Er offenbart gravierende Sicherheitsmängel. Der Entwickler ist der Mtgox-Chef Mark Karpelès. Ihm wird im Zusammenhang mit der Insolvenz Naivität und mangelnde Weitsichtigkeit vorgeworfen.

Artikel veröffentlicht am ,
Hacker haben Quellcode der Bitcoin-Börse Mtgox veröffentlicht.
Hacker haben Quellcode der Bitcoin-Börse Mtgox veröffentlicht. (Bild: Mtgox/Screenshot: Golem.de)

Es sind 1.719 Zeilen kommentierter PHP-Code, die von der Webseite der inzwischen insolventen Bitcoin-Börse stammen. Er zeigt teilweise gravierende Mängel auf, darunter auskommentierter Debugging-Code und hartcodierte SSH-Schlüssel sowie IP-Adressen. Ein anonymer Entwickler bei Mtgox beschreibt die chaotische Entwicklungsumgebung. Freunde halten den Mtgox-Chef Mark Karpelès für einen "netten Kerl" und guten Programmierer, dem es aber an Finanzwissen fehle.

Stellenmarkt
  1. Allianz Versicherungs-AG, München Unterföhring
  2. LÖWEN ENTERTAINMENT GmbH, Bingen am Rhein (Großraum Mainz)

Im Forum von Bitcointalk.org zerlegen Programmierer bereits den geleakten Code. Eine solch sicherheitsrelevante Software in PHP mit MySQL zu programmieren sei fahrlässig. Die festcodierten SSH-Schlüssel seien geradezu eine Einladung zum Diebstahl, wenn sich Angreifer Zugang zu den Servern der Webseite verschaffen können.

Umfang des Diebstahls weiterhin unklar

Allerdings bleibt es weiterhin unklar, wie und wie viele Bitcoins der Bitcoin-Börse gestohlen wurden. Außerdem wollen die Mtgox-Betreiber noch ermitteln, ob es sich um ein oder mehrere Täter handelt. Möglicherweise sind die Bitcoins aber auch durch die Schwachstelle bei den Transaktions-IDs versehentlich ausgezahlt worden. Offenbar blieb die Schwachstelle, die bereits bei anderen Bitcoin-Börsen schnell behoben wurde, monatelang bei Mtgox unerkannt.

Die Entwicklungsumgebung bei Mtgox sei von Anfang chaotisch gewesen, sagte ein Programmierer bei Mtgox, der anonym bleiben möchte. Es habe beispielsweise keinerlei Versionskontrolle geschweige denn eine Testumgebung gegeben. Code wurde lediglich von Karpelès einer Endkontrolle unterzogen und sofort auf der Webseite umgesetzt.

Karpelès hat viele Fehler gemacht

Sein enger Freund Charlie Shrem hält den Chef der Bitcoin-Börse Mtgox für einen "netten Kerl". Karpelès habe jedoch zu viele Fehler gemacht und damit Mtgox in seine jetzige prekäre Lage gebracht.

Er habe zu viele schlechte wirtschaftliche Entscheidungen getroffen und auch nicht alles Mögliche getan, sagte Charlie Shrem über Karpelès in einem Interview mit dem Bitcoin-Fachportal Coindesk. Allerdings hat Karpelès laut Shrem bei den wirtschaftlichen Belangen von Mtgox wenig zu sagen. Dafür sei der Mitarbeiter Gonzague Gay-Bouchery zuständig.

Außerdem habe Mtgox auch in technischen Belangen zu wenig unternommen, etwa, um den Diebstahl zu verhindern, kritisierte Shrem weiter. Die mangelhafte Informationspolitik habe zusätzlichen Schaden verursacht. Für diese beiden Probleme macht Shrem Karpelès verantwortlich.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. (reduzierte Überstände, Restposten & Co.)

mimimi 07. Mär 2014

Oder nur "leaked". Wenigstens richtiges Denglisch.

Realist_X 05. Mär 2014

Das nehme ich auch an. Plötzlich lief die Kiste und lief immer besser, da gabs kein...

gogogogo 04. Mär 2014

Sry tibrob, aber die Aussage "wenn der 'Angreifer' bereits Zugang zum Server hat, ist...

tibrob 04. Mär 2014

Tja, manchmal heiligt das Resultat die Mittel und es kommt sehr stark drauf an, was man...

mfeldt 04. Mär 2014

... ist ja schön und gut, aber wer sagt mir, daß nicht der nächstbeste Anbieter die...


Folgen Sie uns
       


Todesfall: Citrix-Sicherheitslücke ermöglichte Angriff auf Krankenhaus
Todesfall
Citrix-Sicherheitslücke ermöglichte Angriff auf Krankenhaus

Ein Ransomware-Angriff auf die Uniklinik Düsseldorf, der zu einem Todesfall führte, erfolgte über die "Shitrix" genannte Lücke in Citrix-Geräten

  1. Datenleck Citrix informiert Betroffene über einen Hack vor einem Jahr
  2. Shitrix Das Citrix-Desaster
  3. Perl-Injection Citrix-Geräte mit schwerer Sicherheitslücke und ohne Update

Burnout im IT-Job: Mit den Haien schwimmen
Burnout im IT-Job
Mit den Haien schwimmen

Unter Druck bricht ein Webentwickler zusammen - zerrieben von zu eng getakteten Projekten. Obwohl die IT-Branche psychische Belastungen als Problem erkannt hat, lässt sie Beschäftigte oft allein.
Eine Reportage von Miriam Binner


    Zwischenzertifikate: Zertifikatswechsel bei Let's Encrypt steht an
    Zwischenzertifikate
    Zertifikatswechsel bei Let's Encrypt steht an

    Bisher war das Let's-Encrypt-Zwischenzertifikat von Identrust signiert. Das wird sich bald ändern.
    Von Hanno Böck

    1. CAA-Fehler Let's-Encrypt-Zertifikate werden nicht sofort zurückgezogen
    2. TLS Let's Encrypt muss drei Millionen Zertifikate zurückziehen
    3. Zertifizierung Let's Encrypt validiert Domains mehrfach

      •  /