Баг в функции JavaScript подвергает адреса Bitcoin риску брутфорса

Баг в функции JavaScript подвергает адреса Bitcoin риску брутфорса

Баг в функции JavaScript подвергает адреса Bitcoin риску брутфорса

Специалисты в области кибербезопасности предупреждают, что старые адреса Bitcoin, сгенерированные в браузере или через приложения на основе JavaScript, могут содержать недостаток, благодаря которому злоумышленники могут провести атаку брутфорс закрытых ключей, завладеть кошельками пользователей и украсть их средства.

Уязвимость существует из-за функции JavaScript SecureRandom(), которая используется для генерации случайного Bitcoin-адреса и его закрытого ключа (некого аналога пароля). Вся проблема заключается в том, что эта функция не генерирует по-настоящему случайные данные.

«Функция будет генерировать ключи, которые, несмотря на их длину, имеют менее 48 бит энтропии. Таким образом, на выходе будет не более тех же 48 бит. Затем SecureRandom() запускает номер, который он получает через устаревший алгоритм RC4, что еще снижает количество бит энтропии. Следовательно, ваш ключ становится более предсказуем», — уточнил обнаруживший брешь эксперт.

Напрашивается вывод — все адреса Bitcoin, созданные с использованием функции SecureRandom(), уязвимы для атак брутфорс, с помощью которых можно угадать закрытый ключ учетной записи.

Специалисты отмечают, что уязвимы все адреса Bitcoin, созданные с использованием BitAddress до 2013 года, а также Bitcoinjs до 2014 года. Wallet-приложения, использующие старые версии jsbn.js, по-прежнему генерируют слабые секретные ключи, которые легко сбрутфорсить.

Айтишники удалили 96 баз данных правительства США и записали всё в Teams

История с братьями-близнецами Мунибом и Сохаибом Ахтерами стала ещё абсурднее. Ранее выяснилось, что после увольнения из федерального ИТ-подрядчика Opexus они за час удалили 96 баз данных правительства США. Теперь оказалось, что весь этот киберперформанс они ещё и случайно записали на аудио.

Согласно материалам суда, 18 февраля 2025 года сотрудники HR провели с братьями встречу в Microsoft Teams.

Сохаиб включил запись, а спустя пару минут HR вышли из звонка. Но сама встреча продолжила записываться. Судя по всему, братья этого не заметили и ещё около часа обсуждали, что делать после увольнения.

А обсуждали они много интересного: подключение к VPN, удаление баз данных, зачистку компьютеров, резервные копии, возможное давление на бывшего работодателя и клиентов Opexus.

В какой-то момент один из братьев прямо говорит, что люди уже вышли из системы, идеальное время.

Opexus уволила братьев после того, как узнала, что они ранее сидели в тюрьме за кибермошенничество. В ответ, по версии обвинения, Муниб и Сохаиб решили устроить цифровую месть и начали удалять базы данных, связанные с клиентами компании, включая государственные структуры США.

Особый шарм истории добавляет то, что братья в записи они спорят, можно ли требовать деньги, стоит ли писать клиентам компании, как почистить следы и насколько всё это похоже на доказательство вины.

В какой-то момент Сохаиб даже предполагает, что к ним могут прийти с обыском. Муниб отвечает, что всё зачистит, а потом они уедут в Техас. План, конечно, был мощный. Только сейчас оба находятся не в Техасе, а в федеральной тюрьме.

Сохаиба признали виновным на прошлой неделе. Муниб ещё в апреле 2026 года признал вину, но с тех пор пытается откатить это решение через рукописные письма судье.

RSS: Новости на портале Anti-Malware.ru