Bug da Cloudflare pode complicar vida de usuários do Bitcoin

Em 17 de fevereiro, um indivíduo descobriu um bug na infraestrutura da Cloudflare, uma empresa que muitas empresas de Bitcoin usam para proteção DDoS e outros serviços. A gravidade do erro é considerada alta e as credenciais de segurança para muitas contas de Bitcoin devem ser alteradas.

Vulnerabilidade “Cloudbleed” pode afetar usuários do Bitcoin

O sistema Cloudflare estaria vazando quantidades significativas de memória não inicializada, o que poderia conter dados confidenciais, incluindo segredos e senhas de autenticação de dois fatores (2FA). De acordo com muitos relatórios, incluindo o da pessoa que encontrou o bug, isso pode ter acontecido há meses, e os dados podem ter sido lançados para a web aberta.

O vazamento poderia levar ao comprometimento das contas de pessoas em muitos sites e serviços de Bitcoin. Os sites de Bitcoin que podem ter sido afetados incluem: Coinbase, Localbitcoins, Poloniex, Kraken, Bitfinex, Bittrex, Bitstamp, Reddit, e muitos outros.

Muitas pessoas na comunidade Bitcoin estão avisando uns aos outros para redefinir suas senhas 2FAs e altera-las imediatamente. Além disso, as empresas de Bitcoin que podem ter sido afetadas também estão alertando os clientes a tomar as precauções necessárias.

“Um bug foi descoberto recentemente com o Cloudflare, que a Kraken e muitos outros sites usam para a proteção DDoS e outros serviços”, afirma a exchange de Bitcoin baseada em São Francisco.

“Devido à natureza do bug, recomendamos como precaução que você altere suas credenciais de segurança na Kraken: Altere sua senha, altere sua autenticação de dois fatores (remova e reabilite), os clientes que usam as chaves da API devem gerar um novo conjunto de segredos. Você também deve alterar suas credenciais de segurança para outros sites que usam Cloudflare”.

A extensão do dano pode ser gravíssima

A questão da Cloudflare lembra muito os ataques Linode em 2012 e a vulnerabilidade Heartbleed na primavera de 2014. No entanto, como o vazamento da Cloudflare chegou às mãos maliciosas é indeterminado, mas os usuários de Bitcoin estão abalados.

A memória não inicializada mantida pelo serviço Cloudflare inclui dados como cookies, conteúdo HTTP, senhas e certificados TLS. A pessoa que descobriu o bug, Taviso diz, “proxies inversos da Cloudflare estão despejando memória não inicializada.”

Além disso, Taviso também detalha: “Foi preciso muita força de vontade para não me referir ao bug como ‘Cloudbleed’”.

“Não sei se este problema foi observado e explorado, mas tenho certeza que outros rastreadores coletaram dados e que os usuários salvaram ou armazenaram conteúdo em cache e sequer sabem o que têm, e etc.”, explica a opinião de Taviso sobre a extensão do dano.

“Descobrimos (e purgamos) páginas em cache que contêm mensagens privadas de serviços bem conhecidos, PII de sites importantes que usam Cloudflare e até mesmo solicitações de texto simples de API de um gerenciador de senhas popular que foram enviadas através de https”.

Por precaução os usuários Bitcoin devem tirar alguns minutos para alterar suas senhas e redefinir seus 2FA em determinadas contas. Uma lista completa de gerenciadores de senhas, serviços 2FA e empresas Bitcoin que podem ter sido afetadas pode ser encontrada aqui.