Payeer
Показаны сообщения с ярлыком Криптобиржа. Показать все сообщения
Показаны сообщения с ярлыком Криптобиржа. Показать все сообщения

четверг, 8 февраля 2018 г.

Майнинг биткоинов на компьютере - выбор лучшей программы

Виртуальные криптовалюты уже давно котируются на ведущих мировых биржах, их «добыча» стала прибыльным бизнесом. Заполучить условные деньги можно за счет использования мощностей ПК для сложных вычислений в индивидуальных или групповых фермах. Процесс обработки массивов данных называется майнингом, а программы для организации процесса вычислений – майнеры. Единственное действие, которое нужно выполнить перед сбором средств, - зарегистрировать свой виртуальный кошелек с соответствующей валютой.
Обращаем внимание на то, что большинство антивирусных утилит «не любят» приложения для майнинга из-за того, что процесс совместных вычислений может работать в фоновом режиме без ведома пользователя. Именно поэтому мы рекомендуем устанавливать программы на специально собранных для этих целей машинах. В традиционной таблице помимо стандартных критериев «Интерфейс» и «Возможности» (функциональность) мы оценивали уровень безопасности исходя из показателей популярного ресурса VirusTotal.

Все рассмотренные программы для майнинга bitcoin и других криптовалют достаточно универсальны – они подойдут для машин на базе графических адаптеров семейства GeForce и Radeon.

CGMiner



  • стабильность в работе;
  • прилагается текстовый файл с инструкцией.

Минусы

  • работа в режиме командной строки;
  • узкая специализация.
Наверное, самая распространенная утилита для майнинга биткоинов. Рекомендуется для установки на специально собранных фермах. Основное ее достоинство – высокая стабильность, программа отлично работает в фоновом режиме. CGMiner не содержит графического интерфейса, все команды назначаются через консоль. Инструкция по управлению прилагается в отдельном текстовом файле.
Если по каким-либо причинам провайдер заблокировал вам доступ к общим пулам, с помощью CGMiner вы можете подключаться к ним через прокси-сервер.

GUIminer



  • локализованный интерфейс;
  • режим сервера;
  • возможно сохранение профильных настроек.

Минусы

  • поддержка всего одной валюты.
Одна из немногих программ для майнинга биткоинов для систем на базе Windows 10 с интерфейсом на русском языке. Фактически является копией CGMiner, но с графической оболочкой. Достоинства GUIminer – автоматическое определение установленных компонентов ПК, возможность быстрого переключения вычислений на интегрированное в процессор ядро и поддержка серверного режима.

nheqminer



  • стабильность.

Минусы

  • старт вычислений сразу после запуска;
  • нет графического меню;
  • неудобный алгоритм получения справочной информации.
Еще один консольный майнер для майнинга валюты zCash. После установки программы вы не найдете к ней инструкций, для получения списка доступных команд необходимо выполнить параметр «–h». Сразу после старта утилита начинает задействовать ресурсы ПК для вычислений, поэтому если вы хотите, чтобы ваша машина работала на ваш кошелек – поторопитесь указать параметры своего виртуального портмоне.

MinerGate

  • универсальность;
  • интегрированный конвертер;
  • поддержка общих пулов.

Минусы

  • автоматически задействует ресурсы машины после запуска.
Самая универсальная программа в обзоре, ее можно использовать для майнинга эфириума, биткоинов, зкеш и многих других цифровых валют. Кроме удобной графической панели задач разработчики утилиты предусмотрели возможность быстрой конвертации виртуальных средств.
Как и nheqminer, MinerGate сразу после запуска включается в обработку данных, поэтому при использовании утилиты поторопитесь задать личные параметры.
Теперь рассмотрим специализированные инструменты для удобной работы с электронными средствами.

Bitcoin Core

Плюсы

  • защищенность;
  • удобный графический интерфейс.

Минусы

  • отсутствует собственный майнер;
  • занимает много места на локальном диске.
Официальная утилита от Bicoin Foundation, основное предназначение которой – безопасное сбережение криптовалюты на локальном компьютере. Программа позволяет управлять сделками, назначать приоритеты, устанавливать комиссию за перевод и менять условия авторизации. Поддерживается возможность установки дополнительных параметров шифрования.
В Bitcoin Core нет собственных инструментов для вычислений, однако к программе можно скачать и подключить сторонний майнер для производства биткоинов.

Awesome Miner

  • выбор оптимальной валюты для майнинга;
  • есть мобильная версия.

Минусы

  • стоимость;
  • отсутствует встроенный майнер.
Распространенный инструмент для дистанционного мониторинга ферм, выбор пользователей, профессионально занимающихся добычей криптовалюты. С помощью Awesome Miner можно назначать задачи удаленным машинам, следить за нагрузкой, температурными и другими параметрами. Очень полезная функция программы – это возможность автоматического переключения валюты исходя из ее котировок на рынке. Например, если ваша сборка в текущий момент более выгодна для добычи эфириума, то утилита автоматически даст команду удаленным компьютерам майнить именно эту валюту.
Кроме десктопной версии существуют также мобильные варианты приложения. Awesome Miner – единственная платная программа в подборке. Ее стоимость составляет от $30 до $800.
Самая многофункциональная программа в обзоре MinerGate поддерживает распространенные виды криптовалют и обладает удобным графическим интерфейсом. Ее мы и рекомендуем в качестве десктопного майнера. Если же вы профессионально решили заняться сбором виртуальных средств посредством нескольких ферм, то вам точно пригодится Awesome Miner. За счет функции автоматического выбора наиболее рентабельной валюты утилита окупит себя за несколько месяцев.
Источник: https://www.softhome.ru/article/programmy-dlya-mayninga

вторник, 6 февраля 2018 г.

ПОЛНОЕ РУКОВОДСТВО ПО ICO (DEFINITIVE GUIDE TO ICO)

В стремительно развивающейся цифровой экономике с каждым годом появляется все больше криптовалют и инструментов, с ними связанных. Как во всем разобраться? Как грамотно использовать открывающиеся возможности? Как инвестировать в ICO и как выйти на криптобиржу? Компания Ambisafe совместно с рейтинговым агентством ICORating  представляет Полное Руководство по ICO.
Что такое ICO?
ICO это аналог IPO в криптовалютной экономике. Если знакомый нам IPO  (Initial Public Offering)  — это первичное публичное размещение акций компании на бирже в традиционной экономике, то ICO (Initial Coin Offerings) – это процесс выпуска компанией собственных токенов (аналог акций на традиционном финансовом рынке с рядом уникальных свойств) и размещение их на криптовалютной бирже.
Благодаря инновациям, предоставленным технологией  blockchain,  стоимость этого процесса с использованием криптовалютных бирж в десять раз дешевле стоимости традиционного IPO на финансовых биржах. Если минимальная стоимость IPO на европейской бирже составляет около $200 тыс,  то суммарная стоимость всего процесса ICO с выходом на криптовалютную биржу варьируется от $10 тыс до 20 тыс. При этом результат в обоих случаях достигается аналогичный (возможность привлечь инвестиции во много раз превышающие затраты на процесс эмиссии), то есть потратив сумму порядка $40 тыс компания может привлечь до $ 10 млн.  инвестиций.
Вот некоторые примеры успешных ICO за осень 2016 года:
  • Iconomi (investments, finance — Open Fund Management Platform) — ICO проводилось 25.08.2016 —  29.09.2016 и было привлечено 17,274 Ƀ, что эквивалентно, приблизительно, $12 млн.;
  • FirstBlood (infrastructure for gamers — A Decentralized eSports Platform Based on Smart Contracts) — ICO проводилось 26.09.2016 — 24.10.2016 и было привлечено 10,060 Ƀ, что эквивалентно, приблизительно, $7 млн.;
  • Golem (Decentralized worldwide supercomputer. Golem can be used by anyone to sell the computer’s computing time over the internet) — ICO стартовало 11.09.2016 и было завершено в тот-же день, так как план по привлечению необходимого объема инвестиций был выполнен за один вечер. Проект привлек 820,002 ETH, что эквивалентно, приблизительно, $8 млн.;
Обычно на финансовую биржу при помощи IPO выходит уже известная, стабильная компания с финансовой историей. ICO же в основном используется для краудфандинговых проектов, то есть для компаний, которые только начинают свою историю. Компании-новички не могут предсказать реакцию  рынка в полной мере. Поэтому первым шагом для выхода ICO является пре-анонс проекта.
1 этап. Пре-анонс
Пре-анонс – это анонсирование будущего проекта в сообществах криптовалютных инвесторов, таких как Bitcoin Talk, Reddit и другие.  Основатели проекта пишут executive summary – небольшую презентацию для инвесторов, в которой они объясняют суть и цели ICO проекта.  После executive summary компания получает первую обратную связь, анализируя которую можно понять, смог ли проект заинтересовать инвесторов или нет. После выхода пре-анонса часто появляется много вопросов о бизнеc-модели проекта, о неучтенных рисках. Приняв во внимание все входящие комментарии, бизес-модель получает должные корректировки. Этот процесс обратной связи с последующими корректировками повторяется несколько циклов, до тех пор, пока не будет достигнуто согласие между фаундерами и потенциальными инвесторами. В завершении  первого этапа принимается окончательная бизнес-модель проекта и пишется подробная оферта.
2 этап. Оферта
Оферта – это предложение о заключении сделки, в котором изложены  существенные условия договора,  адресованное определенному лицу, ограниченному или неограниченному кругу лиц.  Оферта составляется от имени зарегистрированной компании, которая выходит на ICO. Оферта описывает все нюансы проекта, оговаривает желаемую сумму инвестиций, сроки исполнения проекта. В оферте указывается, какой именно финансовый инструмент будет продаваться на бирже. Как правило,  этим инструментом выступают токены.
Токены в blockchain  — это криптовалюта, которая представляет собой эквивалент единицы финансового инструмента, представляемого на криптобирже. 1 токен может равняться, к примеру, 1 доллару долговых обязательств, одной акции компании, 10 акциям компании, праву голоса где-либо и так далее.  На данный момент устоявшихся стандартов, на счет того, чем будет являться токен в определенном проекте нет, поэтому это указывается в каждой оферте индивидуально. После выбора финансового инструмента, в оферте описываются все права, которыми обладает данный токен. Например токен ETH, выпущенный во время ICO Ethereum носил исключительно спекулятивный характер, а токен DGD помимо того, что подкреплен золотовалютными резервами, также дает владельцу право выдвигать предложения по управлению компанией на рассмотрение других акционеров.
На сегодняшний день регуляторы по всему миру только начинают разбираться в том, что такое blockchain, поэтому компаний, выпустивших свои аналоги традиционных акций на blockchain пока единицы. Как правило токены предусматривают определенный срок, после которого компания начинает погашать свои обязательства перед инвесторам (например, вылачивать дивиденды). Этот срок также указывается в оферте.
После подписания оферты анонсируется срок начала продажи токенов, и компания-эмитент проводит активную PR- кампанию.
3 этап. PR-кампания
Поскольку ICO зачастую проводится для молодых и малоизвестных компаний, очень важную роль в успешности проекта играет грамотная PR-стратегия. Для этого привлекаются специализированные агентства, организовываются выступления на различных конференциях и так далее.
На финансовом рынке перед запуском IPO также проводится похожая кампания, которая называется Road Show  — элемент практической подготовки компании-эмитента при выпуске ее ценных бумаг.  Если в финансовой экономике  Road Show  — это серия встреч с потенциальными крупными инвесторами и аналитиками в ключевых городах мира, то в случае с ICO PR-кампания длится в среднем один месяц и ориентирована не на институализированных инвесторов (банки, фонды и прочее), а на широкий сегмент инвесторов помельче.
Целевая аудитория в данном случае — участники краудфандинговых программ, так называемые «бизнес-ангелы». Такие инвесторы охотнее поддерживают проекты, в которых могут применить собственный опыт. Личная вовлеченность и экспертные знания — принципиальное отличие бизнес-ангелов от других частных инвесторов. Среди активных бизнес-ангелов много предпринимателей, привлекающих внешнее финансирование в собственные проекты. Инвестиции, получаемые от этой группы, называют «ангельскими».
По окончанию PR-кампании начинается сам процесс продажи и покупки токенов. В дату старта ICO, компания предоставляет инвесторам способ купить заявленные офертой токены. Таких способов, как правило, два.
4 этап. Начало продаж в рамках ICO
Существует два способа выпуска токенов на blockchain:
  • можно сначала собрать минимальную сумму денег, определенную офертой, а потом выпустить токены и разделить их между инвесторами пропорционально. Для этого как правило делается специальный сайт с кабинетом инвестора, например chronobank.io;
  • также можно продавать токен на крипто-биржах. Для этого его нужно выпустить заранее, что позволяет торговать им на одной или нескольких биржах одновременно. В этом случае процесс ICO становится идентичным традиционному процессу IPO.
После завершения продаж токенов любым из этих способов, компания-эмитент приступает к выполнению заявленных обязательств перед инвесторами. Поскольку криптовалютный рынок еще молод и механизма его регулирования нет, как такового, стоит поговорить о рисках, с которыми сталкивается инвестор, вкладывая в ICO.
Риски
Регулирование криптовалютного рынка — проблема технического характера, мало кто понимает как регулировать процессы, происходящие внутри него. Виртуальная экономика, осуществляющая все свои сделки посредством интернет-платежей, без непосредственного контакта продавца с покупателем,  всегда сопряжена с рисками. Не является исключением и ICO.
По оценкам наших экспертов, большинство существующих проектов к 2017 году могут оказаться мошенническими. Это происходит потому, что благодаря виртуальной экономике инвестировать стало проще, и люди вкладывают свои деньги практически «не глядя», в любую компанию с более-менее приличной презентацией, не проводя качественного Due Diligence (DueD).
DueD  существует в  финансовой экономике и, как правило, заключается в проведении глубокого анализа объекта инвестирования и предоставлении его в форме отчета. Анализ включает в себя оценку инвестиционных рисков, всестороннее исследование деятельности компании, комплексную проверку её финансового состояния и положения на рынке,  компетентность и предыдущий опыт привлеченной команды. Провести DueD могут позволить себе только опытные инвесторы, которые прибегают к услугам соответствующих специалистов.
В случае с критовалютной экономикой и ICO, Due Diligence зачастую проводится поверхностный, что часто приводит к инвестированию в проекты за которыми не стоит реального бизнеса. Мы можем увидеть это на примере краудинвестинга всевозможных лотерей и казино. Чтобы обезопасить вкладчиков, по аналогии с традиционным финансовым рынком, на крипторынке появляются новые игроки – рейтинговые агентства.
Такие агентства проводят независимый Due Diligence,  делают анализ всей информации о компании, выходящей на крипто-биржу и публикуют результаты своего исследования в форме независимого рейтингового обзора с указанием сильных и слабых сторон проектов.
Для минимизации рисков инвесторов, компании, предоставляющие услуги запуска ICO, сотрудничают с рейтинговыми агентствами. Так, компания Ambisafe заключила партнерский договор с рейтинговым агентством ICORating, что обеспечивает дополнительную надежность совместных проектов.
ICORating проводит исследование всех аспектов проекта, которые стоят за конкретным криптовалютным финансовым инструментом. Компания анализирует инвестиционные риски проекта, выходящего на ICO, по следующим направлениям:
  • бизнес-модель (ее актуальность, сильные и слабые стороны);
  • рыночная ниша (перспективность и динамика развития выбранной рыночной ниши для построения бизнеса);
  • команда (бизнес-опыт в традиционном рыночном сегменте, в блокчейн-индустри, опыт блокчейн-разработок);
  • конкуренция (уровень конкурентного давления со стороны компаний со схожими бизнес-моделями из традиционного рыночного сегменте и блокчейн-экономики);
  • технический беграунд (наличие и качество прототипа или исходного кода);
  • анализ отзывов от комьюнити;
  • и многие другие аспекты .
Таким образом, инвесторы в свободном доступе видят, насколько рискованна та или иная инвестиция.
«Исходя из собственного опыта, мы настоятельно рекомендуем потенциальным инвесторам изучать предмет инвестирования более детально или обратиться за анализом к профессиональным рейтинговым агентствам. Компаниям же, выходящим на ICO, рейтинговые агентства помогут систематизировать всю необходимую информацию, что повысит коэффициент надежности их проекта в глазах инвесторов, – говорит СЕО Ambisafe Андрей Замовский, – На сегодняшний день мы занимаемся выпуском криптовалют уже два года и наблюдаем неутешительную статистику мошенничества в данной сфере».
Еще одним способом защиты от потенциальных мошенников является криптографический escrow, осуществляемый при помощи Multi-sig кошельков и независимых escrow agents. Это значит, что компания собирает деньги не напрямую, а с привлечением третьих лиц.
Средства собираются на Multi-sig кошелек, доступ к которому есть только у депозитных агентов, что, в свою очередь, обеспечивает дополнительную защиту. Таким образом, компания не может самостоятельно потратить собранные деньги без цифровой подписи агента.
В обязанности депозитного агента входит проверка исполнения условий оферты компанией, выполнение сроков и обязательств перед инвесторами. Только в случае соблюдения заявленных условий компания получает доступ к определенным суммам с Multi-sig кошелька.
На практике это выглядит так – компания собирает $1 млн. План реализации бизнес-модели разбит на 10 периодов. Первые $100 тыс компания получает с Multi-sig кошелька сразу по окончанию этапа сбора денег. Дольше депозитный агент наблюдает за исполнением заявленных условий, за честностью компании-эмитента, за соблюдением сроков и, в случае успешного выполнения первого этапа плана, выдает следующую часть суммы. Если компания не выполняет свои обязательства, деньги остаются замороженными на кошельке до выполнения обязательств или возвращаются инвесторам.
В заключение хочется отметить, что стремительно развивающаяся блокчейн-экономика и растущий рынок ICO повторяют сегодня историю становления и развития традиционного фондового рынка, только на значительно более быстрых скоростях.
Часть проектов, которые сегодня проводят ICO, обладают потенциалом со временем вырасти до огромных размеров и многократно окупить вложенные в них инвестиции. Многие инвесторы сегодня вспоминают момент выхода на IPO таких компаний как Apple, Amazon или Google и прикидывают, какие состояния они могли бы сделать. если бы вложились в эти компании в тот момент. Рынок ICO сегодня дает еще один шанс поучаствовать в истории успеха проектов новой экономики, как для инвесторов, так и для компаний, чьи основатели хотят создать, действительно, значимые проекты.
Мы и наши партнеры видим своей целью сделать путь инвесторов и проектов к своим целям более надежным, понятным и эффективным — снижение рисков, максимизация потенциальной прибыли, повышение прозрачности и стабильности рынка.
Источник: http://newscryptocoin.com/2016/11/26/polnoe-rukovodstvo-po-ico-definitive-guide-to-ico/

Bitcoin выходит на рынок фьючерсов

Крупнейшая площадка по торговле фьючерсными контрактами CME Group во вторник сообщила о планах по запуску фьючерсов на Bitcoin.
Согласно сообщению CME Group, финансовый инструмент появится в IV квартале 2017 года. Он будет расчетным (беспоставочным) и базироваться на CME CF Bitcoin Reference Rate (BRR).
BRR – это стандартизированная справочная ставка оператора, базирующаяся на данных ряда биткоин-бирж и показывающая стоимость криптовалюты в долларах США. 
В сообщении CME Group отмечается возросший интерес клиентов к цифровым валютам. Таким образом, Bitcoin получит официальную прописку на фьючерсном рынке, получив в этом плане статус, аналогичный нефти или золоту.
Отметим, что это не первая подобная инициатива. В августе основной конкурент CME Group – CBOE Global Holdings – также сообщила о планах по запуску фьючерсов на Bitcoin. В этом случае также идет речь о сроках до конца 2017 года. 
Отметим, что пока операции с биткоином посредством традиционных финансовых рынков возможны посредством бумаг Bitcoin Investment Trust (GBTC) и акций производителей видеокарт для майнинга, например Nvidia.
БКС Экспресс
Источник: http://www.invest-rating.ru/financial-encyclopedia/?id=10775

Как я взломал пул для майнинга Bitcoin

Сегодня веб-сайты работающие с криптовалютами являются очень «вкусной» мишенью для хакеров. И вроде бы их безопасность должна быть на высоком уровне, но нет. это далеко не всегда так. Посмотрите хотя бы на BlockChain Graveiard, где видно как крупнейшие сервисы банкротятся и закрываются в результате хакерских атак. Меня это воодушевило и я решил провести собственное исследование безопасности одного из таких веб-приложений. В этой статье я расскажу что из этого получилось. Интересно? Добро пожаловать под кат.

Итак, я посетил ViaBTC Pool — один из крупнейших пулов для совместного майнинга. Выбор был случайным и базировался на диаграмме ниже.

image
Диаграмма построена на основе рыночной доли самых популярных биткоин-пулов для майнинга по состоянию на 23.09.2017

Я зарегистрировал аккаунт, привязал телефон и подключил двухфакторную аутентификацию через Google Authenticator. Также была включена опция “Authenticate When Sign In ViaBTC” (2fa при входе).

Вот так безопасно выглядел аккаунт потенциальной жертвы:

image

Поехали!

1. Сайт не защищен от CSRF атак.
CSRF (англ. Сross Site Request Forgery — «Межсайтовая подделка запроса», также известен как XSRF) — вид атак на посетителей веб-сайтов, использующий недостатки протокола HTTP. Если жертва заходит на сайт, созданный злоумышленником, от её лица тайно отправляется запрос на другой сервер (например, на сервер платёжной системы), осуществляющий некую вредоносную операцию (например, перевод денег на счёт злоумышленника). Для осуществления данной атаки жертва должна быть аутентифицирована на том сервере, на который отправляется запрос, и этот запрос не должен требовать какого-либо подтверждения со стороны пользователя, которое не может быть проигнорировано или подделано атакующим скриптом.

В данном случае, если пользователь веб-приложения посетит вредоносный сайт, то его email изменится на адрес атакующего.

Работает это так:

  1. Пользователь веб-приложения переходит на сайт злоумышленника.
  2. Жертва ничего не подозревает, однако в этот момент на сайт pool.viabtc.com был отправлен запрос на смену email адреса.

    image
  3. Злой хакер тут же получает письмо на свою почту для подтверждения операции.

    image
  4. После перехода по ссылке в письме злоумышленник видит: 

    image

Великолепно! Почта успешно привязалась и атакующий автоматически залоггинился в аккаунте жертвы. Но влажные фантазии нашего воображаемого хакера о несметных криптобогатствах прервёт тот самый редирект «ту хоум». Да, это окно втрого шага аутентификации (2fa при входе, помните?):

image

2. Обход двухфакторной аутентификации при входе

Далее была обнаружена критическая уязвимость в реализации двухфакторной аутентификации. Некоторые функции веб-приложения требовали подтверждение вторым фактором аутентификации только во фронтенде. Если отправить запрос непосредственно на бэкенд, то он будет успешно выполнен без надлежащей аутентификации.

Таким образом, атакующий способен отключить двухфакторную аутентификацию при входе, несмотря на то, что он не прошёл ту самую двухфакторную аутентификацию, что, несомненно, является очень удобной фичей.

Смотрите сами:

  1. Атакующий использует запрос ниже для отключения 2fa при авторизации.

    image
  2. Злоумышленник переходит на главную страничку, но теперь аутентификация не запрашивается.

    image

Что ещё можно было сделать отправляя запрос непосредственно на сервер? Давайте вспомним первую уязвимость, где браузер жертвы сам отправил запрос на смену email’a. Если пользователю необходимо изменить email, то фронтед запросит подтверждение через второй фактор аутентификации. Но если отправлять запрос напрямую, то подтверждение не требуется! Из за такого недостатка безопасности атакующий и смог изменить email используя CSRF.

На данном этапе, атакующий получил доступ в аккаунт и к его конфиденциальной информации. Но такие важные операции, как, например, смена пароля всё ещё защищены двухфакторной аутентификацией.

3. Полный обход двухфакторной аутентификации

Веб-приложение разрешает использовать два метода подтверждения операций: SMS код или код из Google Authenticator. Но я обнаружил ещё один метод – email код.

Как? Я обратил внимание на процесс подтверждения операции через SMS. Он состоит из запроса на отправку кода и запроса на подтверждение используя полученный код. Выглядит это так:

image

«В этом запросе было бы неплохо изменить “sms” на “email”», – подумал я.

image

А здесь логично “sms_code” на “email_code”. 

Ну что сказать, ловкость рук и никакого мошенничества!

image

Да, у атакующего нет доступа к SMSкам жертвы. И да, у него нет доступа к аккаунту Google Authenticator жертвы. Но у него есть доступ к email’у (он был привязан к аккаунту благодаря CSRF).

Итак, финальные шаги:

  1. Злоумышленник отправляет запрос на получение кода подтверждения для операции перепривязки аккаунта Google Authenticator.

    image
  2. Получает код на email.

    image
  3. Подтверждает операцию используя email код.

    image
  4. Изменяет второй фактор аутентификации на свой.

    image

Вот таким нехитрым образом злоумышленник завладел аккаунтом обычного пользователя веб-приложения.

Заключение


Цепочка уязвимостей позволяет полностью украсть аккаунт, что, конечно же, критично. Тем не менее уязвимости исправить не сложно:

  • Внедрить CSRF-токены.
  • Выполнять проверки на стороне сервера.
  • Отключить подтверждение через email.

Но если смотреть глубже, эти уязвимости просто симптомы по которым можно диагнозировать:

  • Разработчики не имеют базовых знаний в области безопасности веб-приложений. Как минимум знания заезженного OWASP TOP TEN исключили бы появление столь банальной уязвимости как CSRF.
  • Разработчики считают, что фронтенд является единственным источником данных для бэкенда веб-приложения и слишком доверяют данным от него. Но это не так: мы можем отправлять прямые запросы на сторону сервера.
  • Отсутствует строгая политика относительно функционала веб-приложения. Разработчики допустили существование предположительно дебаг функции в продакшн версии веб-приложения.

Главное это не просто исправить те несколько уязвимостей, что я обнаружил. Важно смотреть в корень проблемы. Техническая команда должна сделать выводы и постоянно улучшать их знания в области безопасности. Да, возможно эта мысль банальна и очевидна. Но мы каждый месяц наблюдаем громкие заголовки о взломе очередной криптобиржи. Забавно то, что это вроде бы как новые технологии с огромными рисками, миллионы денег, которые могут безвозвратно покинуть ваш кошелёк, но всё те же разработчики, которые не знают что такое CSRF. Я всё.

Timeline


  • 13.12.2017 — Reported.
  • 14.12.2017— Accepted.
  • 15.12.2017 — Fixed. Заплатили вознаграждение.

  Источник: https://habrahabr.ru/post/348396/
сегодня в 10:22




суббота, 13 января 2018 г.

Топ-15 криптовалютных бирж


График дня: Топ-15 криптовалютных бирж

Китайская Binance, американская Bittrex, гонконгская Bitfinex а также южнокорейская Bithumb — одни из самых популярных криптобирж в мире. В общей сложности на них приходится почти 50% от общей доли торгов криптовалютами. При этом основная масса биткоинов (Bitcoin) торгуется на bitFlyer и Bitfinex. Самые популярные биржи для торговли эфиром (ETH/USD) — это Binance и Bitfinex, для Bitcoin Cash (Bitcoin.Cash) — OKEx и Binance, а для Ripple — Bithumb и Poloniex. 
Подробнее на https://ru.insider.pro/infographics/2017-12-27/grafik-dnya-top-15-kriptovalyutnyh-birzh/?category=infographics

среда, 10 января 2018 г.

Биткоин будет стоить $1.000.000

b836b2d5f854bec8a7627.jpg
Будет ли когда-нибудь такое или это просто научная фантастика? В этом гипотетическом мире 1 биткоин стоит 1 000 000 долларов, а 1 сатоши (100 миллионная часть биткоина) стоит 0,01 доллар.
Мнения по поводу биткоина варьируются от позиции Джейми Димона, генерального директора JP Morgan, который считает , что это мошенничество, до мнений максималистов, которые считают, что Биткоин идеальная система. Где-то в середине этого, мнение Мохамед Эль-Эриана. Он высказал, что «текущая цена биткоина предполагает массовое принятие, и это никогда не произойдет» и биткоин должен стоить «треть» его стоимости. Мохамед Эль-Эриан умный парень, он бывший генеральный директор PIMCO и бывший экономист МВФ, может ли он быть прав? Может Биткоин уже достиг пика? Мы бы так не думали.
 Биткоин по-прежнему крошечный
В отличие от других цифровых ресурсов, которые имеют более сложную архитектуру и сферы использования, таких как смарт-контракты Ethereum, Биткоин является хранилищем ценности и средством обмена. Таким образом, его конкурентами являются основные фиатные валюты (доллар США, евро, йена) и золото.
ebbe0a468a0299694ff35.jpg
Если бы ценность биткоина уже получила массовое принятие, рыночная капитализация всех биткоинов должна быть близка к рыночной стоимости доллара США и золота, верно?
В то время как рыночная капитализация Биткойна в настоящее время составляет 90 млрд долл., денежная масса доллара США, то есть агрегат М2, денежные средства, депозиты и фонды денежного рынка, составляет 12 500 млрд. долл., а стоимость всего золота, когда-либо добытого, близка к 8000 млрд долл. Это означает, что биткойн стоит около 1% стоимости двух своих основных конкурентов.
Гонка до триллиона, гонка на миллион
Когда Биткоин начнут массово принимать, его цена должна увеличиться ... во много раз! Следующие диаграммы иллюстрируют, что будет, если Биткоин достигнет рыночной капитализации в 1 трлн долларов (1000 млрд долл.), то цена одного Биткоина достигнет 1 000 000 долларов.
af7a1a6b9e82bc6a7d997.png
2e394c098238f42b528c9.png
Эта иллюстрация предполагает, что доступно 16,5 миллионов биткоинов, количество биткоинов, добытых на сегодняшний день. В действительности, пул доступных биткоинов, скорее всего, намного меньше. Сотни тысяч или даже миллионы биткоинов, возможно, были потеряны в ранние годы, в то время, когда биткоины были в основном бесполезны.
Сатоши Накамото - загадочный основатель Биткоина - ни разу не проводил транзакции из своего 1.000.000 биткоинов, (сейчас это более 5 миллиардов долларов). Так, ему пока это не нужно или он исчез, и его личные ключи ушли с ним. Что будет если разработчики сети владеющие таким количеством биткоинов решат продать его, всем и так понятно. Вспоминается недавний случай, когда разом выставили 26.000 биткоинов, это повлекло за собой 10% падение курса Биткоина.
d815b7d390bbbd83432a6.jpg
Глава МВФ считает, что центральные банки государств не должны игнорировать принятие криптовалют, а наоборот, для многих государств с нестабильной национальной валютой, принятие криптовалюты- это эффективный метод денежно-кредитной политики.
Если это действительно так, то число цены одного Биткоина, которое все будут цитировать очень скоро, будет ценой одного Сатоши.
56ef751868caa853b0607.jpg
Статья составлена каналом "О Криптовалютах👌 на основе экспертного блога специалиста по финансам Всемирного банка( The World of Bank) Винсента Лаунай
794fef79b3444ceb286f1.jpg
https://golos.io/ru--bitkoin/@pro-crypto/bitkoin-budet-stoit-usd1-000-000