Coinbase公开了一个影响3500名客户的密码问题

在与CoinDesk的共享帖子中，Coinbase发布了一个“密码存储问题”，该问题影响了不到3,500个客户（全球超过3000万），导致个人信息。 ，包括密码，以明文形式存储在内部登录系统上。

“在非常特殊且罕见的错误情况下，我们的注册页面上的注册表单未正确加载，这意味着无法在这些条件下尝试创建新的Coinbase帐户。失败，“该帖子解释道。 “不幸的是，这也意味着建议的名称，电子邮件地址和密码（以及居住状态，如果在美国）将被发送到我们的内部日志。”

在3,420个案例中，潜在客户在第二次注册时使用了相同的密码，这将成功，但会导致他们拥有与密码版本匹配的密码。公司日志。周五，Coinbase通过电子邮件通知了这些客户。

发生错误，因为Coinbase在注册页面上使用了React.js服务器端暴跌。基本上，当用户访问该页面以注册帐户时，React会帮助显示要填写的表单。

“任何试图注册的用户都需要启用JavaScript才能正确加载JavaScript，”该帖子解释说，补充说：

“几乎在所有情况下，这两个都是真的，React处理表单验证并将其发送到服务器。但是，如果用户关闭JavaScript或其浏览器在下载时遇到React.js错误，则会有足够的预呈现HTML，用户可以填写并尝试提交我们的注册表单。“

因为HTML表单是“非常基本的”，所以不安装“动作”或“方法”。由于默认行为，这导致一些默认浏览器“GET”，它可以将失真编码为日志数据的一部分。

交易平台通过将默认表单方法转换为“POST”来修复此问题，以确保不再记录数据。

虽然Coinbase寻求其他形式的“具有类似问题的行为”，但该平台还没有找到任何形式。

“我们还在实施其他机制，以检测和防止将来再次发生此类错误，”该职位说。

为了回应这一发现，Coinbase表示它已经跟踪了可以存储日志的不同位置，包括存储在Amazon Web Services上的系统和一些“凳子服务提供商”。记录“。

“对这些日志记录系统的访问进行全面审查并没有发现任何未经授权的访问这些数据，”文章说，并补充说，访问每个系统该系统受到“严格的限制和审核”。

Coinbase表示，它还为受影响帐户的任何个人启用了密码重置功能。 （该博客文章补充说，它需要在同一密码上进行双因素身份验证，以便用户登录该帐户。）

“尽管我们确信我们已经解决了根本原因并且日志信息没有被正确访问，误用或不恰当地泄露，但我们正在询问这些客户。更改密码以获得最佳预防，“该帖子解释道。

“作为提醒，Coinbase还维持奖金计划，以检测HackerOne的错误，迄今为止已经获得超过25万美元的奖金。虽然内部已发现此特定错误，但我们欢迎安全研究人员在他们认为可能已发现其中一个系统存在缺陷时提交报告。我们，“交易大厅结束了。

在Binance和Huobi之后发布的Coinbase的披露违反了实际数据。与Coinbase不同，Binance和Huobi似乎失去了对客户KYC数据的控制，包括身份验证文件。

• CEO Coinbase：组织每周发送2亿至4亿美元的电子货币，价格明显上涨
• Coinbase Custody收购了Xapo，成为全球最大的电子货币经理

Dieu Anh

比特币杂志| Coindesk

•在Telegram更新新闻