Ведущая криптовалютная платформа Coinbase сообщила о потенциальной уязвимости, в результате которой личная информация 3420 пользователей, включая пароли, хранилась в виде открытого текста во внутреннем журнале сервера. Как утверждает биржа, несанкционированный доступ к этим данным третьи стороны к ним не получили.

Калифорнийская компания также отметила, что речь идет об очень незначительной части клиентов, общая пользовательская база которых насчитывает более 30 млн человек. Всем им были отправлены письма, в которых сообщается об обнаруженной проблеме.

Выявленный баг, как говорят представители Coinbase, находился на странице регистрации.

«При очень специфических и редких условиях регистрационная форма загружалась некорректно, из-за чего любые попытки создания нового аккаунта на Coinbase оказывались неудачными. К сожалению, это также означало, что имена, email адреса и введенные пароли отправлялись в наш внутренний журнал», — пишет компания.

Если пользователь перезагружал страницу и успешно завершал регистрацию, введенная информация, как это и должно быть, не записывалась, а пароли шифровались. Однако в 3420 случаях пользователи регистрировались, используя пароль, хеш которого соответствовал хешу, записанному во внутренний журнал.

На данный момент уязвимость, по заявлению Coinbase, полностью устранена, другие формы «проблемного поведения» на платформе не выявлены. Тем не менее компания начала внедрение дополнительных механизмов для определения и предотвращения непреднамеренного появления подобных багов в будущем.

Также компания заявляет, что исследовала направления, по которым могла произойти утечка данных, включая систему в Amazon Web Services и некоторые сторонние сервисы анализа журналов, и не выявила случаев неавторизованного доступа.

Тем не менее, несмотря на то, что специалисты Coinbase уверены в исправлении первоначально причины проблемы и в отсутствии неавторизованного доступа, пользователям, чьи данные оказались во внутреннем журнале сервера, в качестве предупредительной меры придется все же изменить свои пароли.

Источник: forklog.com