三十路!

おいさんが調べたことメモってるブログ。

1_2_1

2018年9月2日『BTC-FX』の感想。Monappyハック & ライン@一斉凍結 & finex イケイケモード(黒字)

2018年9月2日『BTC-FX』の感想。Monappyハック & ライン@一斉凍結 & finex イケイケモード(黒字)

前半

Monappy がハックされてたというニュースが飛び込んでくる。

Monappyへの攻撃についてのお詫びとお知らせ (2018年9月2日 午前4時40分更新)

いつもMonappyをご利用いただきありがとうございます。

この度、弊サイトに対して外部からの攻撃が発生し、調査の結果ホットウォレット内のMonacoinが盗難されていることが判明いたしました。
全残高の54.2%を保管しているコールドウォレット内のMonacoinについては影響はありませんでした。
詳細な攻撃の内容に関しては現在サービスを停止して調査を進めております。
ユーザーの皆様をはじめ、ご関係者の皆様に多大なるご迷惑をおかけしていますことを深くお詫び申し上げます。

なお、本件についてはblock withholding attackなどによるものではないと思われることを確認しました。
本文章の初版において誤解を招く表現をしてしまっていたことをお詫び申し上げます。

1. 発覚の経緯
2018年9月1日午前11時、今回とは別件の攻撃に関する注意喚起を受けたのを期に改めて調査したところ、サーバ上にあるホットウォレットがユーザの残高に対して不足していることを確認しました。
この件を受けてすぐにサーバを切断し確認作業を行っておりましたが、調査の結果ほぼすべてのMonacoinが盗難されていることが判明しました。
2018年9月2日午前1時、検証の結果攻撃に至った原因が高負荷時におけるギフトコード機能の不備であることを確認いたしました。

従来よりセキュリティ対策としてサーバへのアクセス制限、各種の脆弱性テストなどを実施しておりましたが、今回の攻撃を許してしまう結果となってしまいました。誠に申し訳ございません。
現在も攻撃の内容について調査を行っております。

なお、この件につきましてメールアドレスやパスワードなどユーザー情報などの流出は確認されておりません。

2. 攻撃の経緯
2018年8月27日から2018年9月1日にかけて、攻撃者と見られる複数のユーザーがギフトコードを大量に発行しました。
同8月29日から9月1日にかけて外部受け取り機能(ログインせずにギフトコードを受け取れる機能)を利用してギフトコードを受け取る際、高い頻度でリクエストを行うことで一つのギフトコードに対し数回の送金が行われてしまい、今回の攻撃に至りました。

MonappyからMonacoinを送信する際は、monacoindという別のサーバ上のアプリケーションと通信する仕様になっています。
この通信がタイムアウト等で失敗した場合はサーバダウンなどで送金に失敗しているとみなして、取引をロールバックする仕様となっていました。
また、ギフトコードの処理に関してはデータベースのトランザクション機能等を利用しており、本来同じギフトコードを二重に使用することはできないようになっていました。
しかし、高負荷状態でギフトコードを連続して使用しようとした場合、通信を受け取ったmonacoindの応答に時間がかかり、サイト側ではタイムアウトとなってロールバックされたあとにmonacoind側では送金が行われていました。
この結果、一つのギフトコードから複数回送金されたものと考えられます。
また、この攻撃に際し少額のMonacoinを大量に送付しておくことでcoind送信時の負荷を増大させようとする試みも確認しました。

現時点で推測される攻撃の流れについては上記の通りです。今後も引き続き調査を進めて参ります。

3. 原因
上記の通り、悪意あるユーザのギフトコード機能を悪用した攻撃が直接の原因となります。
また、当方の平時のモニタリング体制の不備、テストや確認の不備などが根本的な要因と認識しております。

4. 影響
Monappyに残高をお持ちの全ユーザー様が対象となります。

5. 今後の対応について
まずは今回の攻撃に関する詳細の調査を最優先として、誠実に対応させていただきます。
その後、詳細のご報告、皆様へのご対応、再発防止策などについて対応を進めて参ります。

6. ご注意のお願い
・本件の対応を理由に、Monappyからメール・電話・郵便等でメールアドレスやパスワードなどをお伺いすることはありません。
・本件に関するメールにファイルを添付してお送りすることはありません。
・monappy.jp以外のドメインにてmonappyのメールアドレスやパスワードを入力させることはありません。
不審なメールなどには十分ご注意いただくようお願いいたします。

6. 本件に関する連絡先
Monappyサポート
[email protected]

7. 変更履歴
2018年9月1日 初版公開
2018年9月2日 午前2時30分 文章の推敲、誤解を招く表現の訂正しました。また、攻撃の詳細について調査結果を追記しました。
2018年9月2日 午前4時40分 攻撃の詳細が確定しました。また、よりわかりやすい表現になるよう追記しました。

皆様には本件においてご迷惑、ご不安をおかけしておりますことを改めてお詫び申し上げます。
今後も引き続き対応を進めて参ります。

2018年9月2日
monappy.jp

おっと、これは強烈なマイナスファンダだからショートかな? と思ってたら、80万超えチャレンジスタート。一時期くっそ鯖が重くなるものの無事80万定着成功?おいさんは日付変更付近からロング・ポジション持つが、鯖の重さにびびり。微益撤退。

握力がなかった。鯖が重くなると同時にくっそ下げてくる仕立のイメージがフラッシュバックしてきて持てなかった。(今回は鯖が重くなっても上げてきたけどね。)基本的に命大事に作戦を常にとってるから、あとからチャートみたら後悔することが山程あるんだけど、損をするよりかはいいよね。って思い込むようにしてるが・・・

めっちゃ後悔/(^o^)\

少しでも、利益を増やそうとスキャスキャ頑張るが増えないからふて寝! モナコインの影響力って皆無だよね。(棒

後半

朝八時におきようと思って寝て起きたら、12時/(^o^)\ 絶望からの二度寝で14時起床。起床後もボラがあるのでひたすらスキャスキャスキャ。

飯食う時間ももったいないから、ふるさと納税で届いたぶどうを食べる。美味しい。

16時ぐらいからフィネックスにステルス買い支え入る。買い支え継続するかなと思ったらまさかの放棄www 買い支え=脳死ホールドは死亡フラグってか。

買い支え放棄と思ってたら継続。こりゃもうわからん。/(^o^)\

フィネックスの絶対防衛マンつよすぎてわらえない。

これが・・

分足トレーダー発狂wwww わいも発狂www なんだこれぇ!/(^o^)\

フィネックスに振り回される日本勢。フィネックスのショートがくっそきになるンゴ。

まさかの全戻し。やばいね。

とある人が右側のチャートは読めないっていってたけど、これほんま。よめないねぇ。

無理はしないで取れるところだけ、コツコツ。

ボラがなくなってきたので見ただけで終了。

 

損益

収益もなかなか取れた。やっぱりボラがあるとスキャ勢にとっては嬉しい。昨日が低調だった分すごく嬉しい。

余談

余談だが、ライン@が一斉凍結されたよね。消費者庁が注意喚起(下記PDF参照)を行ったことに対するライン社の対応なんだと思うが

遅いわ!

この次は、DMMサロンにも注意喚起飛びそうではあるが、うん。DMM側はさっさと損切りしてるよね。早いよね。アクションが!

ライン@ なんて詐欺集団にいいように使われてるなんて、ライン社もとっくの昔から知ってるだろうに。今更感が半端ないよね。

個人的には詐欺に合わないようにするには、過去の事例を知ることだと思う。その点この漫画はおすすめ。

あとは、やっぱり自分も詐欺被害者になる可能性はいつもあるって思うことかな。詐欺って超ミラクル頭いい人たちが一生懸命考えて作ってるわけで、そりゃもう凡人太郎のわいなんていちころだよ。だから常に疑うようにしてる。

疑いすぎてもしんどいんだけどね。そこらへんのバランスはうまく調整しましょう。

北朝鮮が関与するハッカー集団「ラザルス」が、新たに米アップル社製の基本ソフト(OS)であるmacOS(マックオーエス)を標的にしたコンピューターウイルスを開発し…

仮想通貨といえば北朝鮮。北朝鮮といえばハッキング。うーん。日本の取引所も警戒してほしいところです。

コメント歓迎やで! (匿名可)
私はロボットありませんの左側にあるチェックマークを入れてから SEND 押してな!(スパム対策)

*

Return Top