211service.com
De verontrustende gaten in het verslag van MtGox over hoe het $ 600 miljoen aan Bitcoins verloor
Op 10 februari kondigde een Bitcoin-uitwisseling genaamd MtGox aan dat het ongeveer 850.000 bitcoins had verloren, waarvan 750.000 van zijn klanten. Op dat moment werden bitcoins verhandeld voor $ 827 per stuk, waardoor de waarde van het verlies gelijk was aan $ 620 miljoen.
Dat is een aanzienlijk tekort naar ieders maatstaven. Maar MtGox had een verklaring. In een persbericht op die dag maakte het bekend slachtoffer te zijn van een fraude waarbij de bitcoins waren gestolen door hackers.
De fraude, zei het bedrijf, was het gevolg van een probleem dat bekend staat als een transactie-vormbaarheidsbug. Hierdoor kunnen kwaadwillende gebruikers bitcoins naar hun accounts overboeken terwijl MtGox denkt dat de overdracht is mislukt. Bijgevolg herhaalde MtGox deze transacties zodat het totale bedrag twee keer werd overgemaakt.
Vandaag zaaien Christian Decker en Roger Wattenhofer van het Zwitserse Federale Instituut voor Technologie in Zürich twijfel over deze versie van de gebeurtenissen. Deze jongens volgen sinds januari 2013 bitcoin-transacties op een manier die hen in staat stelt om maakbaarheidsbug-transacties te detecteren. En ze zeggen dat het totale aantal frauduleuze overboekingen in die tijd enkele ordes van grootte kleiner is dan MtGox beweert.
Decker en Wattenhofer begonnen het Bitcoin-netwerk in januari 2013 te monitoren. Ze registreerden alle transacties, evenals de transacties die werden geblokkeerd, door verbinding te maken met ongeveer 1000 knooppunten in het Bitcoin-netwerk. Dat is ongeveer 20 procent van het totaal.
Wanneer een transactie wordt gedaan, verspreiden de details zich via het netwerk en vertellen andere knooppunten wie nu de bitcoins bezit. Als de transactie mislukt, verspreidt het nieuws zich ook, zodat de gegevens van iedereen kunnen worden bijgewerkt.
De maakbaarheidsbug stelt een kwaadwillende gebruiker in staat om deze details in het geheim te wijzigen, zodat de oorspronkelijke afzender denkt dat de transactie is geblokkeerd, terwijl alle anderen denken dat het gelukt is. Maar Decker en Wattenhofer konden vastleggen wanneer dit gebeurde door te zoeken naar gevallen waarin dezelfde transacties in de relevante details verschilden.
Gedurende het jaar of zo dat ze hun gegevens hebben verzameld, hebben Decker en Wattenhofer in totaal 302.000 bitcoins waargenomen die betrokken zijn bij maakbaarheidsaanvallen. De overgrote meerderheid hiervan vond echter plaats na het persbericht van 10 februari van MtGox, en het lijken namaakaanvallen te zijn veroorzaakt door het nieuws dat ze succesvol zouden kunnen zijn. Deze kunnen vermoedelijk geen betrekking hebben op MtGox omdat het zijn klanten tegen die tijd had verhinderd toegang tot hun accounts te krijgen.
De aantallen met MtGox waren voor die tijd veel minder. Slechts 1.811 bitcoins waren in aanvallen voordat MtGox gebruikers ervan weerhield bitcoins op te nemen, zeggen Decker en Wattenhofer.
Bovendien was zo'n 75 procent van deze aanvallen niet effectief. Als zodanig konden nauwelijks 386 bitcoins zijn gestolen met behulp van maakbaarheidsaanvallen van MtGox of van andere bedrijven, concluderen ze. Dit is drie ordes van grootte minder dan het aantal dat MtGox beweert.
Dat is een interessante studie die een gapend gat achterlaat in het verslag van MtGox over wat er is gebeurd. Zelfs als al deze aanvallen op MtGox waren gericht, moet MtGox uitleggen waar 849.600 bitcoins zich bevinden, zeggen Decker en Wattenhofer.
Een merkwaardig gevolg van dit verhaal is dat MtGox een paar weken geleden aankondigde dat het 200.000 Bitcoins op een oude harde schijf had gevonden. Die waren in ieder geval niet gestolen. De verblijfplaats van de rest is nog onbekend
Dit is een spectaculaire ineenstorting. In 2013 verwerkte MtGox 70 procent van alle bitcoin-transacties. Vandaag heeft het de handel opgeschort, zijn beurs gesloten en faillissementsbescherming aangevraagd.
We hebben MtGox een e-mail gestuurd voor commentaar, maar hebben nog niets gehoord. Het is duidelijk dat er nog meer in dit verhaal zit.
Referentie: http://arxiv.org/abs/1403.6676 : Bitcoin-transactie kneedbaarheid en MtGox