Пользователь биржи Poloniex слил информацию о баге в ее системе

Обнаружив техническую уязвимость в системе безопасности криптовалютной биржи Poloniex, один из ее пользователей отписал о ней в службу поддержки, но ответа так и не дождался. Информация о том, как пользователь сумел обойти двухфакторную идентификацию во время вывода средств со счета биржи, появилась на портале Reddit.

Юзер, назвавшийся Poloniex2FASucks, сообщил, что смог вывести криптовалюту со своего счета без двухфакторной идентификации, как для логина, так и для подтверждения операции. Он снял ее со счета, использовав пароль из слитой базы данных. По его словам, при открытии электронной почты в клиенте, позволяющем просмотр изображений в предварительном режиме, подтверждается исходящая транзакция.

Пользователь также пожаловался, что обратился в службу поддержки Poloniex, но за 60 дней так и не получил обратное письмо. По мнению юзера, в устранении уязвимости просто не заинтересованы, поэтому намеренно ничего ему не ответили.

Позже к нему обратились другие пользователи криптовалютной биржи, обнаружившие баги. Им служба поддержки ответила, что премию за найденную уязвимость не выплатят, т. к. они воспользовались ей для того, чтобы подтвердить ее наличие. А самому Poloniex2FASucks может грозить иск, как это уже случалось с другими искателями уязвимостей, поэтому информацию о ней он решил просто продать.

Вырученные средства пойдут на благотворительность и поддержку сообщества разработчиков. 75% получит благотворительный фонд, принимающий биткоины, 20% – проекты с открытым исходным кодом и 5% пользователь оставит себе.