Witaj Steemitowa Familio 🖐

Tydzień temu, dokładnie 7 Sierpnia moje konto zostało przejęte przez hakera. Niecały tydzień później, bo 13 Sierpnia z pomocą różnych użytkowników udało mi się je odzyskać. To zdarzenie dużo mnie nauczyło i poszerzyło pogląd na różne kwestie, w związku z czym postanowiłam podzielić się z Wami moim doświadczeniem.

W tym artykule opowiem Wam, w jaki sposób straciłam konto, co działo się z nim podczas jego przejęcia przez hakera, oraz opiszę proces odzyskiwania konta. Na końcu podzielę się z Wami moimi wnioskami, a w kolejnym poście pokażę, jak krok po kroku przejść przez proces odzyskiwania konta i podrzucę kilka ciekawych materiałów, dzięki którym zdobędziecie jasność w tym temacie i będziecie tą wiedzę mogli wykorzystać na swój, lub czyjś użytek.

Bez przedłużania, przejdźmy do tytułowego zdarzenia.

Tego pamiętnego dnia przeglądałam post jednej z użytkowniczek Steemita, która osiągnęła jedną z najwyższych możliwych reputacji na Steemit i cieszy się dużym zainteresowaniem wśród społeczności. Przeglądając komentarze, jeden rzucił mi się w oczy.

Brzmiał on następująco:

Niska reputacja przykuła moją uwagę, jednak nie podejrzewając podstępu założyłam, że oflagowana osoba zapewne nabroiła i zwracając uwagę na plagiat chce odbić się od dna. Autorka artykułu włożyła w niego wiele pracy, a mając tak wiele powiadomień na koncie mogłaby nie zauważyć tego komentarza, pomyślałam więc, że sprawdzę prawdziwość zarzutu i jeśli będzie on prawdziwy także zostawię komentarz, co w efekcie przykuje większą liczbę czytelników, a co za tym idzie i autorki.

Kliknęłam więc w link, który przekierował mnie do artykułu z rzekomym plagiatem. Czego nie zauważyłam, to to, że strona w nazwie posiadała ‘steemiz’ zamiast ‘steemit’. Reszta nie budziła zastrzeżeń. Typowy interfejs steemita – wielkie zielone logo w lewym górnym rogu, pośrodku post autora z reputacją 52 i ‘skradzione’ zdjęcie. Wyglądało to jak przewidywalny, bardzo tani plagiat. Jednak ten obraz zobaczyłam ledwie przez sekundę – nagle na środku ekranu pojawiło się okno proszące o zalogowanie się (wyglądające dokładnie tak samo, jak to, które używamy normalnie logując się na platformę). Nie raz i nie dwa miałam różne problemy z aplikacją bSteem czy Internetem w telefonie, pomyślałam więc, że straciłam połączenie internetowe, w związku z czym zostałam wylogowana.

Naturalnie więc ‘zalogowałam się’.

W tym momencie oddałam hakerowi swoje hasło…

Od tej chwili wydarzenia połączyły się szybko. Haker w pierwszej kolejności zmienił wszystkie moje klucze dostępu, następnie zrobił transfer wszelkich możliwych środków do jednego ze swoich kont oraz natychmiast zaczął wysyłać powyższej treści wiadomości do innych przypadkowych użytkowników. Sądzę, że strona ‘steemiz’, której używa/używał jest po prostu generatorem fałszywych postów, gdzie wystarczy wkleić skopiowane zdjęcie a reszta jest generowana automatycznie, ponieważ komentarze takie powiązane z ich sfałszowanymi odpowiednikami powstawały dosłownie w ciągu kilku sekund.

Autorzy postów, pod którymi pojawiły się takie komentarze oraz inni użytkownicy zaczęli oznaczać odpowiednie ‘organy władzy’, mające na celu oczyszczenie platformy ze szkodliwego spamu i w miarę możliwości ograniczenie hakera.

Wkrótce wyżej wymienieni użytkownicy przystąpili do działania i zaczęli downvote’ować i flagotwać ‘moje’ komentarze, pod każdym zostawiając ostrzeżenie o poniższej treści:

Moja reputacja natychmiast spadła do -2, a w ciągu kolejnych dni aż do -5.

Ponieważ w tym czasie byłam w pracy, nic nie mogłam zrobić, więc o pomoc poprosiłam męża, który tego dnia kończył wcześniej. Po zbadaniu tematu przeszedł przez krótki proces odzyskiwania konta, w którym należało podać hasło używane w ciągu ostatnich 30 dni oraz adres email, na który zostało zarejestrowane konto, używając poniższego linku:

https://steemit.com/recover_account_step_1

Po przyjściu do domu, dla zwiększenia szans odzyskania konta tudzież przyśpieszenia procesu napisałam email do support@steemit.com.

Czekałam kilka dni, niestety poza otrzymaniem automatycznej wiadomości od supportu potwierdzającego otrzymanie maila, nie otrzymałam żadnej odpowiedzi. Haker nie przejawiał już żadnej aktywności, natomiast konto w dalszym ciągu otrzymywało flagi, w efekcie czego reputacja nadal spadała.

Idąc za radą kilku Steemian, weszłam na Steem Chat na kanał #polish, oraz kanał #account-recovery na discordzie, gdzie uzyskałam kilka bardzo cennych rad. W efekcie tego skontaktowałam się z niżej wymienionymi Witnessami:

Czas na odzyskanie konta jest ograniczony, więc Guiltyparties usunął z mojego profilu 4 flagi, aby dać mi więcej czasu na jego odzyskanie.

Potem skierował mnie do @Blocktrades, jako że moje konto zostało zarejestrowane właśnie przez giełdę blocktrades. Ponieważ jednak w momencie zakładania konta na Steemit nie posiadałam istniejącego konta na blocktrades, standardowa weryfikacja okazała się niemożliwa.

Aby wesprzeć moją prośbę, wysłałam swoje zdjęcie z kartką, na której widniał napis ‘account recovery’, mój login oraz data. Blocktrades uznał to za pomocne w uwierzytelnieniu mojej tożsamości i przesłał moje zgłoszenie do developera, który innym sposobem próbował odzyskać dostęp do mojego konta.

W ciągu godziny udało się odzyskać dostęp i zmienić the owner key. Ze względu na limit narzucony przez blockchain dot. częstości aktualizacji hasła, reszta kluczy mogła zostać zmieniona dopiero po kolejnej godzinie.

Następnie Blocktrades przesłał mi wszystkie hasła na chacie, a po tym jak je zapisałam w bezpiecznym miejscu, skasował wiadomość.

To umożliwiło mi zalogowanie się na moje konto i zmianę haseł. Moja reputacja z miejsca wynosiła 46 (wcześniej wynosiła 52, jeśli dobrze pamiętam).

W kolejnym kroku usunęłam zawartość szkodliwych komentarzy wstawionych przez hakera, edytując je, jak widać poniżej:

Dla pewności usunęłam także ‘swoje’ upvote’y na tych komentarzach.

Po unieszkodliwieniu wszystkich komentarzy powiadomiłam o tym Guiltyparties, który zaoferował pomoc w odzyskanie pierwotnej reputacji konta. Niestety z jakiegoś powodu jedna z flag nie mogła zostać usunięta – jak wyjaśnił, była to flaga uniemożliwiająca hakerowi wykonywanie transferów pieniężnych. W takiej sytuacji Guiltyparties zaproponował, że przy pierwszym poście na koncie poprosi jednego z użytkowników z rangą większą niż moja o upvote, który powinien ją podnieść.

Ostatnim krokiem w procesie odzyskiwania konta, było ‘odwołanie wcześniejszych pozwoleń dostępu do konta’ dla Busy (tzw ‘revoke permissions, nie jestem pewna jak to lepiej przetłumaczyć).

Zrobiłam to za pomocą poniższego linku:

https://v2.steemconnect.com/apps/authorized

Jak zapewnił mnie Guiltyparties, od tej pory nikt poza mną nie powinien mieć dostępu do mojego konta.

PODSUMOWANIE

Jak widzicie, cały proces odzyskiwania konta był dość długi i wymagał wiele pracy ze strony Witnessów. Mój błąd był spowodowany po części brakiem czujności i edukacji w zakresie bezpieczeństwa konta.

Za zlekceważenie tematu bezpieczeństwa i obsługi haseł zapłaciłam środkami na koncie, niższą reputacją oraz brakiem efektów z mojego ostatniego posta, nad którym bardzo ciężko pracowałam.

Mimo wszystko patrzę na to zdarzenie pozytywnie, ponieważ była to dla mnie duża lekcja techniczna i życiowa. Zyskałam większą świadomość i pogłębiłam wiedzę na temat zagrożeń, bezpieczeństwa i użytkowania kont/haseł i zyskałam większy dystans do swojej działalności na platformie. Po raz kolejny zauważyłam, jak wielką wagę mają ‘szczegóły’ oraz zdałam sobie sprawę, że jak wszędzie, oprócz osób życzliwych, które chętnie udzielą wsparcia, znajdują się też osoby, które nie licząc się z innymi chcą osiągnąć swoje niecne cele.

MOJE WNIOSKI I RADY

OGÓLNE, DOT. BEZPIECZEŃSTWA SYSTEMOWEGO:

• zapisywanie hasla w domowej przegladarce jest bezpieczne o tyle, o ile ufacie swoim domownikom. Niezalecane jest zapisywanie hasel w przeglądarkach na obcych/publicznych komputerach, ponieważ jest możliwość, że będą one zapisane w postaci plików cache i kolejna osoba logująca się będzie posiadała tą informację.

• aby uchronić się przed wykradnięciem hasła przez keyloggery (szkodliwe oprogramowania służące do zbierania haseł i innych poufnych danych), polecam zainstalowanie programu typu KeyScrambler, który zaszyfrowuje to, co piszemy na klawiaturze

DOT. BEZPIECZEŃSTWA NA STEEMIT

• po pierwsze upewnijcie się, że wiecie, do czego służą odpowiednie hasła na Steemit i jak je odpowiednio używać. NIGDY nie używajcie Master Password i Owner Key do codziennego użytku. Zapiszcie je i trzymajcie w bezpiecznym miejscu, najlepiej na papierze. Logując się, używajcie odpowiedniego klucza, w zależności od swoich zamiarów: Posting key do codziennego użytku, Active Key do wykonania transferów, doładowania Steem Power etc, Master Password / Owner Key jedynie do zmiany haseł.
• Przy logowaniu się, upewniaj się, że na pewno jesteś na stronie STEEMIT.
• jeśli straciłeś dostęp do swojego konta, jest szansa aby je odzyskać. Pamiętaj jednak, że czas na odzyskanie konta jest ograniczony, więc go nie marnuj. Aby go przedłużyć, skontaktuj się z @guiltyparties
• Uważaj na konta z niską reputacją. Jeśli zostały oflagowane, to nie bez powodu.
• Bądź podejrzliwy. Jeśli jakiś link wygląda podejrzanie, nie wchodź w niego, jeśli nie musisz. Przezorny zawsze ubezpieczony.
• Jeśli zobaczysz cos co wyglada jak dzielo hakera, zostaw komentarz phishing i oznacz @steemcleaners lub @steemflagrewrds

⚠️ Pamiętaj - to, ze nigdy nie zostałeś zhakowany, nie oznacza, że nigdy Ci się to nie przydarzy. To, że Twoje konto nie przedstawia dużej wartości materialnej także Cię nie chroni. Haker z nikim się nie liczy, i często używa ‘pionków’ jako narzędzi do osiągnięcia swoich celów.

🚷 Jak w życiu, tak i na Steemit są ludzie przyjaźni, pomocni i chętni do wspierania innych członków, tak samo są tu ludzie nie liczący się z innymi i dążący po trupach do swoich celów. Miejcie na uwadze, że oprócz tzw. ‘Planktonu’, ‘Delfinów’, ‘Orek’ czy ‘Wielorybów’ w Steemitowym oceanie grasują też ‘Rekiny’.

❓ Jeśli masz jakieś wątpliwości, pytaj. Zwróć się na #polish na Steem Chat lub bezpośrednio zaczep Wintessów posiadających wiedzę w zakresie bezpieczeństwa konta: @pjau, @patrice, @guiltyparties.

Mam nadzieję, że nikogo z Was nie spotka podobna sytuacja, w razie gdyby tak się jednak przydarzyło Wam lub któremuś z Waszych znajomych, mam nadzieję, że ten post okaże się przydatny. W kolejnym artykule treściwie opiszę techniczne aspekty odzyskiwania konta, więc zapraszam do zerknięcia.

Niech Rozwaga i Bezpieczeństwo będą z Wami!

MуƘιтcнєηLαв

*zdjęcie widoczne u góry artykułu pochodzi z pixabay