Kraken - Mogelijk probleem met veiligheid ontdekt.

[Redwood]

Zojuist kwam ik er bij toeval achter dat ergens zondagmiddag al mijn assets bij Kraken zijn gejat. ‘Hackers’.

Via de livechat van kraken is direct mijn account ‘op slot’ gezet en hebben ze aangeven te onderzoeken.
Het is geen mega-bedrag wat er buit is gemaakt. Zo’n 2000-3000 aan wat Ada wat daar in Stake staat.

Wat wel zorgelijk is, is dat ik mijn beveiliging op orde heb.

Uiteraard heb ik bij Kraken 2fa geactiveerd, hier gebruik ik de Google Authenticator voor op mijn iPhone. Geen sms.

Het mailadres wat ik hiervoor gebruik is een ProtonMail adres, ook met 2fa.

Wachtwoorden laat ik altijd genereren door Lastpass en Lastpass is weer beveiligd door een Yubikey.

Welke stap heb ik hier nu gemist waardoor er toch van buitenaf (Zweden en Rusland) is ingelogd en onverlaten er met de spreekwoordelijke buit vandoor konden?

Het enige wat ik kan bedenken is een een soort Remote Desktop op mijn iPhone? De kraken app is op de iPhone altijd te openen. Echter bij mijn weten bestaan dit soort dingen toch niet?
Er staan geen vreemde exotische apps op de telefoon.

‘Ze’ hebben iets met de 2fa weten te doen, want inloggen met de Authenticator lukt niet meer.

Mijn inziens heeft Kraken zelf te maken met een behoorlijk lek.

[Voor 15% gewijzigd door Redwood op 24-01-2022 02:43]

[JJ Le Funk]

Redwood schreef op maandag 24 januari 2022 @ 02:39:
[...]
‘Ze’ hebben iets met de 2fa weten te doen, want inloggen met de Authenticator lukt niet meer.

Mijn inziens heeft Kraken zelf te maken met een behoorlijk lek.

heb je de backup keys voor eenmalig gebruik van je Google authenticator ergens online opgeslagen in webmail of ergens anders online toegankelijk bewaard?

waarom zou 2FA het niet meer doen op Kraken? hebben zij de link verbroken vanwege je melding en password reset geforceerd?

[True]

Misschien een RAT o.i.d. op je computer (ik neem aan dat je je account niet op je iPhone aangemaakt hebt?)? Waardoor de 2fa creëercode gestolen is, of heb je deze zelf handmatig ergens opgeslagen waar die gestolen kan worden?

Werkte je authenticator al niet meer voordat je met Kraken support contact opnam? Dan is die verwijderd en/of veranderd, ik weet zo niet hoe dat bij Kraken kan, maar meestal is er dan meer dan enkel een mailtje nodig.

[sh4d0wman]

Nooit 2fa code genereren op hetzelfde device waarmee je op de exchange inlogt. Dan is het hele principe van something you have (een token aka Google Authenticator) / something you know (je exchange wachtwoord) om zeep.

Ik ga er van uit dat ze ook je mail onder controle hebben. Voor zover ik weet sturen exchanges altijd e-mail voor gevoelige zaken. E.g. verandering inlog IP adres, verandering 2FA settings, opname adres, etc. Ik gebruik echter geen Kraken.

"Mijn inziens heeft Kraken zelf te maken met een behoorlijk lek." Denk daar pas aan als je veel andere meldingen online ziet verschijnen. Meestal is het user-error. Malware op je systemen of een lek van je wachtwoorden/backup codes lijken de meest waarschijnlijke route.

[Redwood]

JJ Le Funk schreef op maandag 24 januari 2022 @ 03:03:
[...]


heb je de backup keys voor eenmalig gebruik van je Google authenticator ergens online opgeslagen in webmail of ergens anders online toegankelijk bewaard?


waarom zou 2FA het niet meer doen op Kraken? hebben zij de link verbroken vanwege je melding en password reset geforceerd?

Nope. Geen keys ergens bewaard.

De 2fa in kraken is vervangen door een andere 2fa. Van degenen met toegang tot het account.

[Harm_H]

Gezien je veiligheids maatregelen neig ik ook naar een issue bij Kraken. iPhone hacken lijkt me bijvoorbeeld veel onwaarschijnlijker. Benieuwd naar de uitkomst.

Eerder een medewerker van de website, een lek of zelfs diefstal van het bedrijf zelf. Een mtGox verhaal?

[Voor 34% gewijzigd door Harm_H op 24-01-2022 11:20]

[sOid]

@Redwood Wat kut zeg. En wat een opmerkelijk verhaal.

Zelf heb ik ook een account bij Kraken en daar heb ik twee MFA-codes. Eentje om in te loggen en eentje om crypto over te boeken (funding). Heb jij dat ook? Want dat zou betekenen dat ze twee verschillende MFA-codes hebben weten te achterhalen/manipuleren.

Oh, en heb je toevallig ergens een API-koppeling mee?

[Voor 9% gewijzigd door sOid op 24-01-2022 11:52]

[Redwood]

sOid schreef op maandag 24 januari 2022 @ 11:46:
@Redwood Wat kut zeg. En wat een opmerkelijk verhaal.

Zelf heb ik ook een account bij Kraken en daar heb ik twee MFA-codes. Eentje om in te loggen en eentje om crypto over te boeken. Heb jij dat ook? Want dat zou betekenen dat ze twee verschillende MFA-codes hebben weten te achterhalen/manipuleren.

Yup. Exact dat. Om over te boeken en om in te loggen heb je twee aparte 2fa’s.

Het vreemde is dat er ook geen enkele e-mailmelding is.

[Redwood]

True schreef op maandag 24 januari 2022 @ 03:03:
Misschien een RAT o.i.d. op je computer (ik neem aan dat je je account niet op je iPhone aangemaakt hebt?)? Waardoor de 2fa creëercode gestolen is, of heb je deze zelf handmatig ergens opgeslagen waar die gestolen kan worden?

Werkte je authenticator al niet meer voordat je met Kraken support contact opnam? Dan is die verwijderd en/of veranderd, ik weet zo niet hoe dat bij Kraken kan, maar meestal is er dan meer dan enkel een mailtje nodig.

Na snel met Solarwinds te hebben gekeken niets gevonden. Toch de pc in ieder geval maar opnieuw geïnstalleerd.

Kraken stelt momenteel dat ze iets van malware verwachten of een e-mail hack verwachten.

Verklaard echter niet hoe ze de 2fa die alleen op mijn telefoon staat konden omzeilen.

Heb bij kraken opgevraagd of ze kunnen zien met wel devive/browser de transacties zijn gedaan.

[lucatoni]

Zorgelijk. Je lijkt zaken goed op orde te hebben. Ik kan het niet voorstellen dat jijzelf gehacked bent. Dat is wel heel veel moeite....

Benieuwd hoe ze hiermee omgaan....

[lucatoni]

Lijkt ook op dit verhaal: https://www.reddit.com/r/...hacked_17000_euro_stolen/

[Sissors]

lucatoni schreef op maandag 24 januari 2022 @ 11:58:
Zorgelijk. Je lijkt zaken goed op orde te hebben. Ik kan het niet voorstellen dat jijzelf gehacked bent. Dat is wel heel veel moeite....

Benieuwd hoe ze hiermee omgaan....

Probleem blijft als hij niet gehackt is, wie dan wel? Als iemand Kraken heeft gehackt dan jat je meer dan een paar k. Kan natuurlijk dat het onderdeel is van een veel grotere hack, maar dan verwacht je heel veel klachten op het internet.

[sOid]

Redwood schreef op maandag 24 januari 2022 @ 11:53:
[...]


Yup. Exact dat. Om over te boeken en om in te loggen heb je twee aparte 2fa’s.

Het vreemde is dat er ook geen enkele e-mailmelding is.

En had je de Global Settings Lock ingeschakeld? https://support.kraken.co...Global-Settings-Lock-GSL-

[Redwood]

sOid schreef op maandag 24 januari 2022 @ 12:20:
[...]

En had je de Global Settings Lock ingeschakeld? https://support.kraken.co...Global-Settings-Lock-GSL-

Geen idee eerlijk gezegd.

[Rukapul]

Kan/wil Kraken je een precies overzicht geven van alle geaudite acties met betrekking tot je account?

Zonder kan dit een heel lang topic worden met allemaal mogelijkheden maar zonder dat ook maar een optie bevestigd of geinvalideerd kan worden.

[Voor 41% gewijzigd door Rukapul op 24-01-2022 15:15]

[q-enf0rcer.1]

Is je iPhone toevallig jailbroken? Dat zou de kans op inbrekers natuurlijk wel verhogen

[Voor 7% gewijzigd door q-enf0rcer.1 op 24-01-2022 15:14]

[Redwood]

Rukapul schreef op maandag 24 januari 2022 @ 14:01:
Kan/wil Kraken je een precies overzicht geven van alle geaudite acties met betrekking tot je account?

Voorlopig niet. We zijn nu eerst stapsgewijs bezig dé gehele Security te herstellen. Ze reageren overigens wel correct

[Rukapul]

Redwood schreef op maandag 24 januari 2022 @ 15:15:
[...]


Voorlopig niet. We zijn nu eerst stapsgewijs bezig dé gehele Security te herstellen. Ze reageren overigens wel correct

Probeer zsm dat overzicht in handen te krijgen. Hoe langer je wacht hoe groter de kans dat het geweigerd wordt of dat informatie die mogelijk nadelig voor hen kan zijn weggelaten wordt.

[Redwood]

q-enf0rcer.1 schreef op maandag 24 januari 2022 @ 15:13:
Is je iPhone toevallig jailbroken? Dat zou de kans op inbrekers natuurlijk wel verhogen

Nee. Ook geen rare exotische apps of afwijkende zaken. Ook alles up2date.
Dat geldt ook voor de pc.

Qua mail gebruik ik privé gmail en ProtonMail en zakelijk Google Business. Ook daar uitsluitend 2fa.

Ik heb geen onbeveiligde laptops of tablets rondzwerven. Geen oude telefoons die gejat zijn.

Continu aan het bedenken ook nog hoe dit in godsnaam kan.

[sOid]

Redwood schreef op maandag 24 januari 2022 @ 15:18:
[...]

Continu aan het bedenken ook nog hoe dit in godsnaam kan.

Ik had hierboven nog gevraagd of je een API-koppeling tussen Kraken en een of andere applicatie had, maar vermoed dat je daar overheen hebt gelezen.

Afaik is het mogelijk om een API-key aan te maken waarbij je toestemming geeft om te traden. Bijvoorbeeld voor een tradingbot. Of dit ook voor de Kraken API geldt weet ik niet 100% zeker.

[q-enf0rcer.1]

Redwood schreef op maandag 24 januari 2022 @ 15:18:
[...]


Nee. Ook geen rare exotische apps of afwijkende zaken. Ook alles up2date.
Dat geldt ook voor de pc.

Qua mail gebruik ik privé gmail en ProtonMail en zakelijk Google Business. Ook daar uitsluitend 2fa.

Ik heb geen onbeveiligde laptops of tablets rondzwerven. Geen oude telefoons die gejat zijn.

Continu aan het bedenken ook nog hoe dit in godsnaam kan.

Misschien een man-in-the-middle attack, bijvoorbeeld via je modem die gekaapt kan zijn. Heb je toevallig nog een standaard WiFi SSID? Bijv ZiggoC12304283? En / of een standaard wachtwoord hiervoor? Dan zo snel mogelijk aanpassen naar iets onherkenbaars en resetten die hap Er zijn veel van die dingen die eenvoudig gekraakt kunnen worden helaas

[sOid]

q-enf0rcer.1 schreef op maandag 24 januari 2022 @ 15:27:
[...]


Misschien een man-in-the-middle attack, bijvoorbeeld via je modem die gekaapt kan zijn. Heb je toevallig nog een standaard WiFi SSID? Bijv ZiggoC12304283? En / of een standaard wachtwoord hiervoor? Dan zo snel mogelijk aanpassen naar iets onherkenbaars en resetten die hap Er zijn veel van die dingen die eenvoudig gekraakt kunnen worden helaas

Maar het verkeer is allemaal versleuteld, is MITM dan überhaupt realistisch? Het is niet dat je dan de credentials uit de lucht kan vissen...

[Redwood]

sOid schreef op maandag 24 januari 2022 @ 15:21:
[...]

Ik had hierboven nog gevraagd of je een API-koppeling tussen Kraken en een of andere applicatie had, maar vermoed dat je daar overheen hebt gelezen.

Afaik is het mogelijk om een API-key aan te maken waarbij je toestemming geeft om te traden. Bijvoorbeeld voor een tradingbot. Of dit ook voor de Kraken API geldt weet ik niet 100% zeker.

Overheen gelezen idd. Voor zover ik weet niet. Wellicht dat ik ooit FTX heb gekoppeld, echter zou dat enkel om een 'alleen lezen' gaan. Tradingbots, vage sites en meer van dat soort dingen blijf ik eigenlijk uit de buurt.

[q-enf0rcer.1]

sOid schreef op maandag 24 januari 2022 @ 15:29:
[...]

Maar het verkeer is allemaal versleuteld, is MITM dan überhaupt realistisch? Het is niet dat je dan de credentials uit de lucht kan vissen...

Waarschijnlijk wel, maar technisch is het natuurlijk wel mogelijk dat er een bepaalde app is die data zonder encryptie over de lijn stuurt

[Redwood]

q-enf0rcer.1 schreef op maandag 24 januari 2022 @ 15:27:
[...]


Misschien een man-in-the-middle attack, bijvoorbeeld via je modem die gekaapt kan zijn. Heb je toevallig nog een standaard WiFi SSID? Bijv ZiggoC12304283? En / of een standaard wachtwoord hiervoor? Dan zo snel mogelijk aanpassen naar iets onherkenbaars en resetten die hap Er zijn veel van die dingen die eenvoudig gekraakt kunnen worden helaas

Alles thuis van Unifi incl. de USG. Ik woon op het platte land en zodra er iemand langer dan een paar minuten in mijn wifi bereik stil staat valt het op

Qua wachtwoorden in ieder geval ook altijd veilig. Combinaties van (hoofd)letters, cijfers en tekens. Een afgesloten gastnetwerk voor bezoekers

[Redwood]

Ik zal de transcripties ook gaan plaatsen tussen mij en Kraken.

Hello ****

Thank you so much for reaching out to us.

Important security alert:

You must complete the following steps and reply with the requested response before we can fully unlock your account.

We have reason to believe your devices may have been compromised with malware and/or a trojan virus.

As an increased security precaution, we strongly encourage you to first backup any data you wish to keep, then fully reset your device(s) back to factory settings.

For security purposes, we have temporarily disabled your Kraken account.

Prior to regaining access to your account, it is critical that you immediately secure your devices, your email accounts and your Kraken password. The following general steps may assist you with this process:

Please note that the below steps should be completed after you have reset your device(s).
1. After you ensure your devices are malware free, change your email account passwords. For strong password tips review this support article.

2. Add (or change) the Two-factor Authentication method on your email account and secure the account as indicated in this support article.

3. Reset your password by navigating to: https://www.kraken.com/sign-in and clicking 'Help'.

Note: You will still not be able to sign in after your password is reset.

4. Check your email settings to ensure an attacker has not set up email forwarding of your messages to another email account which they control.

5. Check recent email account activity and details to ensure no one else has signed into your email account.

6. Remove any unofficial Kraken Apps from your mobile devices. Our official mobile apps can be found in this article.

7. If you have downloaded a fake Kraken or cryptocurrency app to your device​, it may also be worth backing up any required data and factory resetting this device.

Once you have secured your devices and your email accounts, please copy and paste the following line into a reply to this email:

"I hereby confirm that I have followed the above instructions and secured my devices, my email accounts and my Kraken password."

Note that we won't be able to offer anything beyond general advice regarding your case until the above steps and security procedures have been completed.

We look forward to your reply.
Kind regards,

Een vrij standaard mailtje. Aan alle eisen voldaan, wachtwoorden gereset etc.

En de follow-up:
[/quote]

Hello Alex,

Thanks for your patience.

Unfortunately, our team is not able to provide any further details or specifics until you have completed all the necessary security steps and your account has been unlocked.

Your Kraken account has been unlocked, but trading and withdrawals will remain temporarily locked until you complete the following steps.

We kindly ask you to sign into the account and complete the following:

Generate a new Sign-in 2FA using an Authenticator App or Yubikey.​
Remove all withdrawal addresses. See this article for instructions.
Please take note of any unfamiliar withdrawal addresses before replying to this email as they may be removed by our system before your account is restored.
Remove any unauthorized Active Sessions or Devices that you do not recognize.
Please take note of any unfamiliar IP addresses before removal, as they will not be visible for review later.

Once you've completed the steps above, let us know in a reply to this email and we will unlock trading and withdrawals on your account.
Kind Regards,

Het vreemde is dus dat ik nog steeds niet in kan loggen omdat mijn 2FA codes incorrect blijven.
Inloggen is dus helemaal niet mogelijk.

Wie er ook wat gedaan heeft, het is in ieder geval 'de hacker' geweest welke 2FA heeft kunnen resetten naar een andere/zijn eigen app.

[Voor 0% gewijzigd door Redwood op 24-01-2022 15:39. Reden: Quotes aangepast]

[mcsluis]

Dit doet me denken aan dit topic: Bitcoinmeester account van een goede vriendin gehackt.

[NimRod1337]

lucatoni schreef op maandag 24 januari 2022 @ 11:58:
Zorgelijk. Je lijkt zaken goed op orde te hebben. Ik kan het niet voorstellen dat jijzelf gehacked bent. Dat is wel heel veel moeite....

Benieuwd hoe ze hiermee omgaan....

Waarom ziet het hier dan niet zwart van identieke meldingen? https://www.reddit.com/r/KrakenSupport/

[lucatoni]

NimRod1337 schreef op maandag 24 januari 2022 @ 17:04:
[...]

Waarom ziet het hier dan niet zwart van identieke meldingen? https://www.reddit.com/r/KrakenSupport/

Heb eerder een link gestuurd met identieke meldingen. Anyhow. Je kan als hacker er ook voor kiezen om heel beperkt misbruik te melden over een langere periode. Zeker als het een insider is. Gezien het verhaal van topicstarten vind ik dat het meest realistische scenario.

https://www.reddit.com/r/...hacked_17000_euro_stolen/
en hier nog een:
https://www.reddit.com/r/..._got_hacked_and_got_100k/

Meldingen zijn allemaal van 2021...Daarvoor kan ik er weinig vinden. Dat is toch ook apart?

[Voor 6% gewijzigd door lucatoni op 24-01-2022 17:10]

[Eusebius]

Heb je gekeken bij https://www.kraken.com/u/security welke actieve sessie's open staan?

[Qwerty-273]

Het is dat je het nooit zal ontvangen van Kraken. Maar om een goed beeld te krijgen wat er nou precies gebeurt is zou je eigenlijk een audit van alle acties van jouw account over de laatste periode moeten zien.

Wanneer ingelogd, en vanaf welke client.
Welke acties er allemaal zijn gedaan, en welke informatie er veranderd is (en vanaf welke client/sessie dat geweest zou zijn).

Het is haast onmogelijk om vanuit jouw kant daar alles te ontdekken. Zeker als iemand toch jouw MasterKey heeft (op welke manier dan ook) dan kan je namelijk gewoon om 2fa heen. Of wellicht heeft de dader toch eerst via social engineering op de helpdesk jouw e-mail adres veranderd (vandaar geen notificatie). Er zijn zoveel mogelijkheden - maar die kan je alleen exact nagaan met een complete audit van alle acties op jouw account.

[_ferry_]

Hun app maakt toch gebruik van een API om te kunnen traden? Wellicht dat het daar mis gaat?

[Redwood]

Inmiddels hebben ze de 2fa verwijdert zodat ik een nieuwe in kan stellen.

Zodra ik achter de pc zit zal ik kijken naar actieve sessies en geschiedenis.

[HenkEisjedies]

_ferry_ schreef op maandag 24 januari 2022 @ 18:29:
Hun app maakt toch gebruik van een API om te kunnen traden? Wellicht dat het daar mis gaat?

Kan tegenwoordig ook met username, pass en 2fa code.

[Redwood]

Inmiddels weer toegang tot het account en daar iets interessants gevonden.
Actieve sessies zijn er buiten mijn huidige niet, maar connected devices wel.

Op 23-01-2022 - Chrome (Windows) 79.141.175.175 (Sweden) Op dit moment zijn de transacties uitgevoerd
Op 20-12-2021 - Chrome (Windows) 95.213.193.235 (Rusland)

Alle overige devices zijn mijn eigen.

Zonder enige mailnotificatie (ik heb er naar gezocht) hebben zich twee nieuwe devices kunnen aanmelden.
Zodra ik zelf inlog krijg ik dus wel direct een e-mail.

Als ik niet beter zou weten zouden ze bijv. toegang moeten hebben tot mijn Protonmail (welke is beveiligd met de Yubikey) om de transactiemails te verwijderen.

Wat betreft api's. Er zijn er 3, echter deze zijn sinds mei 2021 niet meer gebruikt.

[Zhou]

Redwood schreef op maandag 24 januari 2022 @ 19:45:

Zonder enige mailnotificatie (ik heb er naar gezocht) hebben zich twee nieuwe devices kunnen aanmelden.
Zodra ik zelf inlog krijg ik dus wel direct een e-mail.

Als ik niet beter zou weten zouden ze bijv. toegang moeten hebben tot mijn Protonmail (welke is beveiligd met de Yubikey) om de transactiemails te verwijderen.

Check de vuilnisbak of daar de transactiemails nog staan.

[Redwood]

Zhou schreef op maandag 24 januari 2022 @ 19:58:
[...]

Check de vuilnisbak of daar de transactiemails nog staan.

Staan er dus niet. Op 20 december staat er wel een melding van een nieuwe device, maar dat was een login vanaf mijn eigen IP. Er is niets te vinden wat betreft de twee nieuwe devices en de gisteren gemaakte transacties

[LankHoar]

Redwood schreef op maandag 24 januari 2022 @ 19:45:
Inmiddels weer toegang tot het account en daar iets interessants gevonden.
Actieve sessies zijn er buiten mijn huidige niet, maar connected devices wel.

Op 23-01-2022 - Chrome (Windows) 79.141.175.175 (Sweden) Op dit moment zijn de transacties uitgevoerd
Op 20-12-2021 - Chrome (Windows) 95.213.193.235 (Rusland)

Alle overige devices zijn mijn eigen.

Zonder enige mailnotificatie (ik heb er naar gezocht) hebben zich twee nieuwe devices kunnen aanmelden.
Zodra ik zelf inlog krijg ik dus wel direct een e-mail.

Als ik niet beter zou weten zouden ze bijv. toegang moeten hebben tot mijn Protonmail (welke is beveiligd met de Yubikey) om de transactiemails te verwijderen.

Wat betreft api's. Er zijn er 3, echter deze zijn sinds mei 2021 niet meer gebruikt.

Bizer. Om e.e.a. uit te sluiten kun je wellicht ProtonMail schrijven en vragen om te kijken of zij e-mail verkeer hebben gezien voor jouw account op die dag (en dan vergelijken met wat je wel ziet in je account)? Weet nie of je een betaald account hebt, dan zou support sneller moeten zijn.

[mannowlahn]

Redwood schreef op maandag 24 januari 2022 @ 19:45:
Inmiddels weer toegang tot het account en daar iets interessants gevonden.
Actieve sessies zijn er buiten mijn huidige niet, maar connected devices wel.

Op 23-01-2022 - Chrome (Windows) 79.141.175.175 (Sweden) Op dit moment zijn de transacties uitgevoerd
Op 20-12-2021 - Chrome (Windows) 95.213.193.235 (Rusland)

Alle overige devices zijn mijn eigen.

Zonder enige mailnotificatie (ik heb er naar gezocht) hebben zich twee nieuwe devices kunnen aanmelden.
Zodra ik zelf inlog krijg ik dus wel direct een e-mail.

Als ik niet beter zou weten zouden ze bijv. toegang moeten hebben tot mijn Protonmail (welke is beveiligd met de Yubikey) om de transactiemails te verwijderen.

Wat betreft api's. Er zijn er 3, echter deze zijn sinds mei 2021 niet meer gebruikt.

Je protonmail beveiligd met yubikey maakt het een stuk moeilijker. Als er geen toegang is geweest tot je mail, dan moet kraken gaan bewijzen dat die mails gestuurd zijn. Als dat niet het geval is, dan wijst dat op een omzeiling van binnen uit. Immers is e-mail notificatie door een gebruiker niet uit te zetten.

Je zegt api zijn niet meer gebruikt. Krijg je e-mail notificatie als api wel gebruikt wordt? Want als dat niet zo is, dan heb je antwoord via welke weg het gegaan is.

[Redwood]

mannowlahn schreef op maandag 24 januari 2022 @ 20:39:
[...]

Je protonmail beveiligd met yubikey maakt het een stuk moeilijker. Als er geen toegang is geweest tot je mail, dan moet kraken gaan bewijzen dat die mails gestuurd zijn. Als dat niet het geval is, dan wijst dat op een omzeiling van binnen uit. Immers is e-mail notificatie door een gebruiker niet uit te zetten.

Je zegt api zijn niet meer gebruikt. Krijg je e-mail notificatie als api wel gebruikt wordt? Want als dat niet zo is, dan heb je antwoord via welke weg het gegaan is.

Ik kan zien in Kraken wanneer de API's zijn aangemaakt en voor het laatst gebruikt. Geen één overigens met transactie rechten.

[Redwood]

LankHoar schreef op maandag 24 januari 2022 @ 20:08:
[...]


Bizer. Om e.e.a. uit te sluiten kun je wellicht ProtonMail schrijven en vragen om te kijken of zij e-mail verkeer hebben gezien voor jouw account op die dag (en dan vergelijken met wat je wel ziet in je account)? Weet nie of je een betaald account hebt, dan zou support sneller moeten zijn.

Ik heb inmiddels een mail naar Proton gestuurd. Afwachten.

[Redwood]

Overigens werd dit zojuist in één van de NL Crypto groepen gedeeld -> https://cointelegraph.com...ed-despite-2fa-protection

https://twitter.com/boxmi...ed-despite-2fa-protection

Ai. Meer meldingen van nagenoeg hetzelfde als mijn probleem.

[Voor 48% gewijzigd door Redwood op 24-01-2022 20:52]

[mannowlahn]

Laats ook crypto.com waar 2fa omzeilt werd. Ben erg benieuwd naar hoe en waarom. Heb zelf nu die yubikey ook maar eens besteld voor mijn Gmail. Stond allang op mijn todo list, beter maar niet wachten.

Support kraken die yubikey dus niet?

[sOid]

mannowlahn schreef op maandag 24 januari 2022 @ 20:57:
Laats ook crypto.com waar 2fa omzeilt werd. Ben erg benieuwd naar hoe en waarom. Heb zelf nu die yubikey ook maar eens besteld voor mijn Gmail. Stond allang op mijn todo list, beter maar niet wachten.

Support kraken die yubikey dus niet?

Ik zag laatst dit filmpje. Lijkt me niet heel waarschijnlijk dat TS hiermee te maken heeft gehad, maar het is wel een manier om 2FA te omzeilen.

[lucatoni]

Maar dat verklaart toch nog steeds niet dat TS geen mails heeft ontvangen.

Zou je de malifide transacties kunnen delen, of loopt dat dood?

[Redwood]

Inmiddels is Kraken klaar wat betreft 'onderzoek'

***** (Kraken Support)

Jan 25, 2022, 4:20 PST

Hello ***,

Thanks for your patience.

Our team can certainly help provide some additional information.

According to our review, on 23-Jan-2022 15:21 UTC a successful sign-in 2FA bypass request was made on your account from IP 79.141.175.175. This 2FA bypass request successfully used your Kraken account's Master Key to bypass the sign-in 2FA on your account, and on 23-Jan-2022 15:22 UTC there was a successful sign-in from IP 79.141.175.175.

For more information regarding the Master Key, 2FA bypass, and other useful information we recommend reviewing the following support article: What is Master Key.

Following the successful sign in, an XMR withdrawal address was added from IP 79.141.175.175 on 23-Jan-2022 15:36 UTC and approved on your account on 23-Jan-2022 15:37 UTC from IP 79.141.175.175.

Further details about this withdrawal address can be found below. This withdrawal address has since been removed from your account:
Currency: XMR

Name: '5' , Address: 42gwQHTAnNsYkakFWy4dZi629Jm2PiwFW4g3LgEfQPjHUJNZDFuxpisJnVU4Su2oYzFiLMrdBYwUjNk5utHdRzC4HLccL68

De 2fa is dus gebypassed door het gebruik van de masterkey. Echt duidelijker word het dan niet want hoe komt iemand aan de masterkey? Deze ligt letterlijk uitgeprint in mijn la van mijn bureau. Ik heb een search gedaan in mijn bestanden en e-mail of de masterkey ergens voorkomt, dat is niet het geval.

Mogelijke opties;
Ik kan er eentje bedenken. Een keylogger of iets van die strekking. Echter kan ik mij niet herinneren wanneer ik de masterkey heb gebruikt.

Slaat Google naast wachtwoorden een Masterkey op?

[sOid]

@Redwood Hij staat niet in LastPass?

[NimRod1337]

Redwood schreef op dinsdag 25 januari 2022 @ 13:46:
Inmiddels is Kraken klaar wat betreft 'onderzoek'


[...]


De 2fa is dus gebypassed door het gebruik van de masterkey. Echt duidelijker word het dan niet want hoe komt iemand aan de masterkey? Deze ligt letterlijk uitgeprint in mijn la van mijn bureau. Ik heb een search gedaan in mijn bestanden en e-mail of de masterkey ergens voorkomt, dat is niet het geval.

Mogelijke opties;
Ik kan er eentje bedenken. Een keylogger of iets van die strekking. Echter kan ik mij niet herinneren wanneer ik de masterkey heb gebruikt.

Slaat Google naast wachtwoorden een Masterkey op?

Je master 2fa moet als het goed is ook in je authenticator staan. Ik heb er 3 van Kraken in mijn authenticator: master, sign in en funding. Deze zijn afgedekt met een 3 dagen (default) durende Global Settings Lock

[Voor 4% gewijzigd door NimRod1337 op 25-01-2022 14:08]

[NimRod1337]

sOid schreef op dinsdag 25 januari 2022 @ 13:56:
@Redwood Hij staat niet in LastPass?

@Redwood Gebruik je dat, en zo ja is dat een browser exentsie? Edit: ik zie dat je het gebruikt. Zodra je deze hebt unlocked met een Yubikey of welke key dan ook, kan elk (malafide-, browser-) proces op je pc erbij.

[Voor 28% gewijzigd door NimRod1337 op 25-01-2022 14:19]

[Redwood]

NimRod1337 schreef op dinsdag 25 januari 2022 @ 13:58:
[...]

@Redwood Gebruik je dat, en zo ja is dat een browser exentsie? Edit: ik zie dat je het gebruikt. Zodra je deze hebt unlocked met een Yubikey of welke key dan ook, kan elk (malafide-, browser-) proces op je pc erbij.

Klopt! Ik gebruik Lastpass. Kraken heb ik daar niet in staan. Ik heb wel gezien dat deze in de password manager van chrome staat. Hoe ik dat voor elkaar heb gekregen... heel dom natuurlijk.
Mijn vermoeden is dat daar het probleem zit.

Inmiddels überhaupt gestopt met de masterkey en ook hier de yubi voor ingeschakeld.
Nu dient er iemand fysiek te beschikken over de yubikey om in te loggen.

Edit:
Het is toch eigenlijk frappant dat er geen beveiliging in werking treed bij Kraken?
Een Russisch ip gebruikt de masterkey om de 2fa te omzeilen en zijn eigen 2fa toe te voegen. Tevens om gelijk alle losse crypto om te wisselen voor Dollars, daar crypto voor te kopen en te transferen.

Imo. Bij enkel het Russische IP had er al een block moeten komen.

[Voor 19% gewijzigd door Redwood op 25-01-2022 15:26. Reden: Toevoeging]

[sOid]

Redwood schreef op dinsdag 25 januari 2022 @ 15:23:
[...]


Klopt! Ik gebruik Lastpass. Kraken heb ik daar niet in staan. Ik heb wel gezien dat deze in de password manager van chrome staat. Hoe ik dat voor elkaar heb gekregen... heel dom natuurlijk.
Mijn vermoeden is dat daar het probleem zit.

Inmiddels überhaupt gestopt met de masterkey en ook hier de yubi voor ingeschakeld.
Nu dient er iemand fysiek te beschikken over de yubikey om in te loggen.

Hoe werkt dat eigenlijk als je zo'n yubikey sloopt/kwijtraakt? Kun je een tweede key als backup gebruiken daarvoor en op een andere locatie leggen bijvoorbeeld?

Edit:
Het is toch eigenlijk frappant dat er geen beveiliging in werking treed bij Kraken?
Een Russisch ip gebruikt de masterkey om de 2fa te omzeilen en zijn eigen 2fa toe te voegen. Tevens om gelijk alle losse crypto om te wisselen voor Dollars, daar crypto voor te kopen en te transferen.

Imo. Bij enkel het Russische IP had er al een block moeten komen.

Ja ik vind het ook vreemd. Eigenlijk moet je een geoblock kunnen instellen. Is natuurlijk niet heilig (want VPN) maar voegt wel weer iets toe qua security.

[mannowlahn]

Redwood schreef op dinsdag 25 januari 2022 @ 13:46:
Inmiddels is Kraken klaar wat betreft 'onderzoek'


[...]


De 2fa is dus gebypassed door het gebruik van de masterkey. Echt duidelijker word het dan niet want hoe komt iemand aan de masterkey? Deze ligt letterlijk uitgeprint in mijn la van mijn bureau. Ik heb een search gedaan in mijn bestanden en e-mail of de masterkey ergens voorkomt, dat is niet het geval.

Mogelijke opties;
Ik kan er eentje bedenken. Een keylogger of iets van die strekking. Echter kan ik mij niet herinneren wanneer ik de masterkey heb gebruikt.

Slaat Google naast wachtwoorden een Masterkey op?

Uitgeprint? Tja, ergens in cached files dan ooit? Dit maakt het dan wel lastiger, je hebt zelf en security breach veroorzaakt.

[NimRod1337]

sOid schreef op dinsdag 25 januari 2022 @ 15:37:
[...]

Hoe werkt dat eigenlijk als je zo'n yubikey sloopt/kwijtraakt? Kun je een tweede key als backup gebruiken daarvoor en op een andere locatie leggen bijvoorbeeld?


[...]

Klopt, kapot is account reset, opnieuw fysieke id doorlopen. 2 keys kan altijd.

@Redwood Als ingelogd bent heeft alles en iedereen toegang natuurlijk, ook malware op dat moment. Liggen de tijdstippen dicht bij elkaar van dat jij in was gelogd, en de malafide transacties? Zou me niet verbazen.

[mannowlahn]

Ik snap ook niet waarom je yubikey niet op kraken gebruikt wordt? Vanwaar die keuze? Je hebt de beste 2fa in bezit en vervolgens ga je keys uitprinten.

[mannowlahn]

sOid schreef op dinsdag 25 januari 2022 @ 15:37:
[...]

Hoe werkt dat eigenlijk als je zo'n yubikey sloopt/kwijtraakt? Kun je een tweede key als backup gebruiken daarvoor en op een andere locatie leggen bijvoorbeeld?

Ja dit wordt door ybikey aangeraden. net zoals het aan te raden is om bv tweede telefoon te hebben met je 2fa's

Kijk als jij binance op je mobiel hebt en ook je google authenticator, dan heb je nog steeds geen 100% veiligheid.

Beste is dus yubikey gebruiken, want je binance op bv ios logged minimaal 1 keer per week uit en om dan opnieuw in te loggen heb je weer 2fa nodig.

[RvV]

Maar maakt het gebruik van een yubikey iets uit als je bij Kraken altijd je 2fa kunt bypassen met je Master Key. Want dat is wat je leest op de support pagina. Daar zit volgens mij de grote zwakte in het systeem. Ik vind het doodeng om bijvoorbeeld je global settings lock tijdelijk uit te schakelen (om wallet adressen te updaten oid) door je Master Key in te typen.
Oh ik zie het al. Je kunt de yubikey ook ALS master key gebruiken.

[Voor 8% gewijzigd door RvV op 25-01-2022 19:37]

[HenkEisjedies]

RvV schreef op dinsdag 25 januari 2022 @ 19:31:
Ik vind het doodeng om bijvoorbeeld je global settings lock tijdelijk uit te schakelen (om wallet adressen te updaten oid) door je Master Key in te typen.

Als je echt goed paranoïde bent, en daar lijkt best aanleiding voor te zijn, kun je dit soort activiteiten doen vanaf een Linux Live CD/USB. Dan sluit je bijna zeker al het softwarematige uit.

[NielsFL]

Redwood schreef op dinsdag 25 januari 2022 @ 13:46:
Inmiddels is Kraken klaar wat betreft 'onderzoek'

Mogelijke opties;
Ik kan er eentje bedenken. Een keylogger of iets van die strekking.

Er is geen mogelijkheid dat je master key IRL door iemand is gezien? Schoonmaker, klasgenoot, ex-partner, etc? Of misschien per ongeluk een keer in het zicht gehad tijdens een video vergadering?

[Redwood]

NielsFL schreef op dinsdag 25 januari 2022 @ 20:05:
[...]


Er is geen mogelijkheid dat je master key IRL door iemand is gezien? Schoonmaker, klasgenoot, ex-partner, etc? Of misschien per ongeluk een keer in het zicht gehad tijdens een video vergadering?

Nope. 100% uitgesloten.

[Redwood]

NimRod1337 schreef op dinsdag 25 januari 2022 @ 16:18:
[...]

Klopt, kapot is account reset, opnieuw fysieke id doorlopen. 2 keys kan altijd.

@Redwood Als ingelogd bent heeft alles en iedereen toegang natuurlijk, ook malware op dat moment. Liggen de tijdstippen dicht bij elkaar van dat jij in was gelogd, en de malafide transacties? Zou me niet verbazen.

Nee, ook niet. Een week geleden had ik wat transacties gemaakt. Ik mine zelf en had een week terug een gedeelte van de geminede crypto naar Kraken verplaatst om wat te handelen.
Rond tijden van de diefstal zat ik met de kids op de bank een filmpje te kijken. Heel toevallig keek ik later op de avond op de telefoon in de Kraken app en was toen van plan crypto te wisselen. Toen zag ik dus de transacties.

[Redwood]

mannowlahn schreef op dinsdag 25 januari 2022 @ 16:22:
Ik snap ook niet waarom je yubikey niet op kraken gebruikt wordt? Vanwaar die keuze? Je hebt de beste 2fa in bezit en vervolgens ga je keys uitprinten.

100% laksheid. Simpelweg niet aan gedacht om überhaupt aan de Masterkey te denken.

[FitTiv]

Als aternatief voor google authenticator zou je nog FOSS programma Aegis kunnen gebruiken. Zit in ieder geval ook een password optie in als je de app opent.

[mannowlahn]

Voor degene die dit lezen en denken waarom yubikey als ik al google auth gebruik?

Als jij google authenticator op je mobiel gebruikt kan iedereen met toegang tot je mobiel in principe alles doen. Je hebt er binance op staan en je auth app. Dan is je enige security dus je pin op je telefoon.

Yubikey staat er fysiek los van, met bv nfc of via usb kan je de 2fa toegang geven. Koop altijd twee keys en registreer die beide op elke service die je wilt gebruiken. Vergeet niet ook een lange PIN op je yubikey in te stellen. Immers als iemand je sleutelbos en je mobiel vind kunnen ze als nog alles. https://support.yubico.co...nderstanding-YubiKey-PINs

In binance heb ik email en yibukey verificatie. Google authenticator en sms heb ik uit staan. Mijn email is ook beveiligd via yubikey.

Nogmaals, print nooit je keys uit, van af dat moment heb je in principe al je eigen security om zeep geholpen. Je kan denken, maar dit gaat ver. ja maar dit topic bewijst dat je echt heel ver moet gaan. Als jij in kraken alleen een yubikey geregistreerd hebt, kunnen zij nooit en te nimmer terug komen, ja je hebt je keys gedeelt. Enige wat men kan zeggen is dat jij het zelf gedaan hebt, maar dat is weer een ander scenario.

[Voor 4% gewijzigd door mannowlahn op 26-01-2022 11:25]

[Eusebius]

Redwood schreef op dinsdag 25 januari 2022 @ 15:23:
[...]


Klopt! Ik gebruik Lastpass. Kraken heb ik daar niet in staan. Ik heb wel gezien dat deze in de password manager van chrome staat. Hoe ik dat voor elkaar heb gekregen... heel dom natuurlijk.
Mijn vermoeden is dat daar het probleem zit.

Masterkey is een soort extra wachtwoord als je je basisgegevens kwijt bent?

En hoe komen ze dan alsnog in jouw browser bij de wachtwoordenmanager van Chrome? Want dan zou daar een lek zitten

[Puch-Maxi]

mannowlahn schreef op woensdag 26 januari 2022 @ 10:52:
Vergeet niet ook een lange principe op je yubikey in te stellen.

Wat bedoel je hier precies mee?

[mannowlahn]

Puch-Maxi schreef op woensdag 26 januari 2022 @ 11:10:
[...]

Wat bedoel je hier precies mee?

sorry, autocorrect, een PIN

https://support.yubico.co...nderstanding-YubiKey-PINs

[Redwood]

Na Windows opnieuw te hebben geïnstalleerd, overal de wachtwoorden heb verandert en waar nodig de Yubikey als 2fa te hebben toegevoegd ben ik aan het kijken naar 'wat kunnen we nog meer doen'.

Op de pc heb ik bitdefender draaien. Deze ook maar op de iPhone gezet.

Hoe zit het anno 2022 met de beveiliging op iPhones? Is malware mogelijk, desondanks iPhone en Bitdefender?
Niet dat ik vermoed dat er iets mee is, maar ik wil nu alles uitsluiten. Ik heb geen rare apps (ook geen games of datingapps) of wat dan ook op mijn iPhone.

[screamhouse]

Als ik lees dat de Olympiers aangeraden wordt om een burner phone mee te nemen, zullen er echt wel mogelijkheden zijn om iPhones uit te lezen/te hacken

[mannowlahn]

Redwood schreef op woensdag 26 januari 2022 @ 14:08:
Na Windows opnieuw te hebben geïnstalleerd, overal de wachtwoorden heb verandert en waar nodig de Yubikey als 2fa te hebben toegevoegd ben ik aan het kijken naar 'wat kunnen we nog meer doen'.

Op de pc heb ik bitdefender draaien. Deze ook maar op de iPhone gezet.

Hoe zit het anno 2022 met de beveiliging op iPhones? Is malware mogelijk, desondanks iPhone en Bitdefender?
Niet dat ik vermoed dat er iets mee is, maar ik wil nu alles uitsluiten. Ik heb geen rare apps (ook geen games of datingapps) of wat dan ook op mijn iPhone.

Ook iphone is niet 100% veilig, maar degen die dat kunnen kunnen hebben wel ander soort targets.

Zolang jij niet meer je 2fa uitprint en geen sms verificatie gebruikt en je yubikey toepast, zit je wel safe

[HenkEisjedies]

Redwood schreef op woensdag 26 januari 2022 @ 14:08:
Na Windows opnieuw te hebben geïnstalleerd, overal de wachtwoorden heb verandert en waar nodig de Yubikey als 2fa te hebben toegevoegd ben ik aan het kijken naar 'wat kunnen we nog meer doen'.

Op de pc heb ik bitdefender draaien. Deze ook maar op de iPhone gezet.

Hoe zit het anno 2022 met de beveiliging op iPhones? Is malware mogelijk, desondanks iPhone en Bitdefender?
Niet dat ik vermoed dat er iets mee is, maar ik wil nu alles uitsluiten. Ik heb geen rare apps (ook geen games of datingapps) of wat dan ook op mijn iPhone.

Even full-on paranoide modus: Een nieuwe Windows installatie is niet per sé voldoende. Nog even los van externe HD's, besmette bad-usb iPhone kabels en andere apparaten op je netwerk die je weer kunnen herbesmetten bestaan er genoeg ondetecteerbare rootkits die zich nestelen in de firmware van je hardware. Naast het vervangen van hardware doe je hier weinig tegen. Die gasten hebben iets van 2000 euro aan je verdiend met misschien een half uurtje werk en doen waarschijnlijk meerdere van dit soort dingen per dag. Die hebben dus ook wel de centjes om de duurdere exploits en persistant RATs te kunnen kopen.

[Redwood]

HenkEisjedies schreef op woensdag 26 januari 2022 @ 15:10:
[...]


Even full-on paranoide modus: Een nieuwe Windows installatie is niet per sé voldoende. Nog even los van externe HD's, besmette bad-usb iPhone kabels en andere apparaten op je netwerk die je weer kunnen herbesmetten bestaan er genoeg ondetecteerbare rootkits die zich nestelen in de firmware van je hardware. Naast het vervangen van hardware doe je hier weinig tegen. Die gasten hebben iets van 2000 euro aan je verdiend met misschien een half uurtje werk en doen waarschijnlijk meerdere van dit soort dingen per dag. Die hebben dus ook wel de centjes om de duurdere exploits en persistant RATs te kunnen kopen.

Paranoïde als ik ben heb ik geen externe hdd's en sluit ik mijn iPhone nooit op mijn pc aan.
Rootkits... tja...

[frennek]

Ook goed om je 2FA codes op je telefoon te beveiligen met een pincode oid (is mogelijk in veel apps). Eigenlijk waanzin dat je deze codes zonder enige vorm van beveiliging kan opvragen, terwijl veel diensten die 2FA gebruiken ook standaard geïnstalleerd staan op diezelfde telefoon.

Je verhaal heeft mij wel opnieuw aan het denken gezet om de beveiliging bij Kraken nog wat verder op te schroeven en na te denken of ik niet ergens een steekje heb laten vallen.

Helaas is het bij Kraken niet mogelijk om twee yubikeys aan te melden voor dezelfde taak. Dit is volgens mij het beste op te lossen door je dagelijkse yubikey te gebruiken voor de standaard 2FA en een backup yubikey als master in te stellen.

De global settings lock klinkt ook interessant om standaard aan te hebben staan. Het voorkomt het genereren van nieuwe withdrawal adressen zonder masterkey (of wachten tot de looptijd van deze lock is verlopen).

[mannowlahn]

Als je yubikey gebruikt werkt de Binance app niet meer. Op zich wel fun. In deze tijden dat je dan wat minder kijkt maar je mist je push notificaties dan weer wel.

[FreakNL]

Ik snap nog steeds niet hoe ze nou bij de TS zijn binnengekomen... Ze moeten toch op 1 of andere manier toegang hebben gekregen tot de originele 2FA?

[Qwerty-273]

@FreakNL in Redwood in "Kraken - Mogelijk probleem met veiligheid ontdekt." geeft Kraken aan dat de master key gebruikt is om in te loggen, of te wel om de 2FA over te slaan.

Hoe men de master key dan heeft bemachtigd is inderdaad nog een mysterie.

[BTFD]

Thanks for the eye-opener!

Net even alles nagelopen en zag dat ik nog een seed in mijn Bitwarden had staan! Daar ook meteen wat aanpassingen gedaan omtrent het moeilijker maken met inloggen..