В сообщении биржи говорится, что данная информация не была доступна внешним сторонам. В своем блоге Coinbase рассказала о «проблеме хранения паролей», которая затронула около 3 500 клиентов. Уязвимость привела к тому, что личная информация пользователей, включая пароли, была сохранена в виде открытого текста в системе протоколирования на внутреннем сервере биржи.
«При очень специфическом и редком состоянии ошибки форма на нашей странице регистрации загружалась неправильно. Это означало, что любая попытка создать новую учетную запись Coinbase при таких условиях оказывалась неудачной. К сожалению, это также означало, что имя человека, адрес электронной почты и предлагаемый пароль отправлялись в наши внутренние журналы», – говорится в сообщении биржи.
В 3 420 случаях потенциальные клиенты использовали один и тот же пароль при второй попытке регистрации, которая оказывалась успешной. Таким образом, используемый ими пароль совпадал с паролем, сохраненным в журналах компании. Эти клиенты получили от Coinbase соответствующее сообщение по электронной почте.
Ошибка произошла из-за использования Coinbase визуализации на стороне сервера React.js на странице регистрации. Когда пользователь заходил на страницу, чтобы зарегистрировать учетную запись, React помогал отобразить форму, которую нужно было заполнить. В сообщении биржи говорится:
«Любой пользователь, желающий зарегистрироваться, должен активировать JavaScript. Практически во всех случаях React обрабатывает проверку формы и ее отправку на сервер. Однако, если у пользователя отключен JavaScript или его браузер получил ошибку React.js при загрузке, достаточно предварительно визуализированной формы HTML, которую пользователь мог заполнить и попытаться отправить нам».
Поскольку форма HTML «была базовой», атрибуты action или method не задавались. Это привело к тому, что некоторые браузеры по умолчанию устанавливали параметр GET, который кодировал переменные значения формы как часть данных журнала. Биржа исправила проблему, переключив метод формы по умолчанию на POST, чтобы гарантировать, что данные больше не регистрируются.
«Мы также внедряем дополнительные механизмы для обнаружения и предотвращения непреднамеренного появления такого рода ошибки в будущем», – говорится в сообщении в блоге.
Coinbase также отследила места, где могут храниться журналы, включая систему, размещенную на Amazon Web Services, и некоторых «поставщиков услуг анализа журналов». «Тщательный анализ доступа к этим системам регистрации не выявил несанкционированного доступа к данным», – сообщила биржа, отметив, что доступ к каждой из систем «строго ограничен и прошел аудит».
Coinbase также инициировала сброс пароля для любого лица, чья учетная запись была затронута этой ошибкой. «Хотя мы уверены, что исправили основную причину и информация не использовалась ненадлежащим образом, а также не была скомпрометирована, мы требуем, чтобы эти клиенты поменяли свои пароли в качестве меры предосторожности», – говорится в сообщении.
Утечка данных пользователей криптовалютных бирж – не редкая ситуация. Недавно Binance опровергла слухи об утечке данных пользователей, а в даркнете начали продавать предполагаемые данные пользователей биржи Huobi.
