Efter hackerangreb og milliontab: BIPS lukker bankboks-tjeneste

Det har været fem hektiske dage for BIPS, siden den danske bitcoin-handelsplads blev ramt af et hackerangreb, hvor bitcoins for over 5,5 millioner kroner blev stjålet. Kris Henriksen, stifter og direktør for BIPS, har været vågen det meste af de fem døgn, siden han blev vækket af bimlende alarmer fra overvågningssystemerne.

»Jeg vågnede af alarmerne og kunne se, at ingen af systemerne kørte længere. Jeg loggede ind og kunne se, at alle data var blevet slettet. Så tænker man ’fuck’. Hackeren slettede det hele – det var jo rigtig flinkt gjort – så jeg har haft en maskine kørende i fire dage for at genskabe serverlogs,« fortæller Kris Henriksen til Version2.

Læs også: Dansk bitcoin-handelsplads hacket – over 5,5 millioner kroner stjålet

BIPS driver en betalingsgateway for bitcoins og en gratis digital wallet-tjeneste, altså en tegnebog på nettet, hvor man kan opbevare sine bitcoins. Det var denne digitale bankboks, som hackeren fik røvet for 5,5 millioner kroner.

»Mange af de stjålne bitcoins var nogle, som vi havde stående. De ventede på, at nogen købte dem. Men der er også en stor del, som er kundernes bitcoins,« siger Kris Henriksen.

Ikke høj nok sikkerhed

BIPS blev først ramt af flere voldsomme DDoS-angreb, og BIPS-direktøren har efter flere dages detektivarbejde en klar teori om, hvad der er sket. Overbelastningen fra DDoS-angrebet var en måde at slå hul på forsvarsværkerne på.

»Jeg har en overbevisning om, at hackeren overbelastede vores switche, som er forbindelsen til SAN’et. Det vil sige, at serverne gik ned, fordi de ikke længere havde adgang til dataene,« forklarer Kris Henriksen.

Har jeres sikkerhed været høj nok, set i bakspejlet?

»Jeg har baseret det på mine 15 års erfaring med it og sikkerhed, og sikkerheden har været en af de bedste i forhold til andre online wallets. Men den har jo stadig ikke været god nok,« siger Kris Henriksen.

Af samme grund lukker BIPS nu tjenesten med digitale tegnebøger helt ned. Alle kunder er blevet bedt om at trække deres bitcoins ud.

»BIPS skal ikke have wallet hosting længere, for jeg kan ikke garantere for sikkerheden. Jeg troede, det var sikkert nok, men det var det jo ikke,« siger Kris Henriksen.

Kan spore men ikke spærre bitcoins

Rent juridisk har BIPS fra starten ikke taget noget ansvar for kundernes bitcoin-beholdninger, så der er ikke tale om erstatningsansvar.

»Vi har beskrevet i vores terms of service, at vi ikke er liable ved tab, i henhold til hvor usikker online wallet hosting er. Men jeg vil gøre mit bedste for at finde ud af, hvem der trængte ind i systemet,« siger Kris Henriksen.

Selvom man godt kan spore bitcoins, kan man ikke melde dem stjålet, så de 5,5 millioner kroner er med høj sandsynlighed tabt. Så kampen handler nu om at finde frem til dem, der gjorde det.

»Jeg skal også arbejde på at genskabe serverlogs i dag, og så vil jeg prøve at bestemme nærmere, hvor hackeren gjorde det fra. Vi laver en politianmeldelse, men mange af vores kunder er jo anonyme, så vi har lavet et system, hvor de kan gå ind og underskrive et dokument med deres claims, som vi så bruger til politirapporten,« siger Kris Henriksen.

Kunne det i teorien ikke bare være dig selv, som havde taget disse bitcoins?

»Jo, det kunne det meget nemt. Men jeg har forsøgt at være en offentlig person siden 2010, og jeg prøver ikke at gemme mig for nogen. Jeg tager på arbejde hver dag og jeg løber ikke nogen vegne. Det må være en god indikation på, at jeg ikke har taget dem,« siger han.

BIPS kører videre med den anden del af forretningen, nemlig en betalingsgateway for bitcoins, som for eksempel bliver brugt af en bar i København, hvor man kan købe sine drikkevarer med bitcoins. Disse systemer var ikke ramt af hackerangrebet, fortæller Kris Henriksen.

Posted in computer.

Leave a Reply

Your email address will not be published. Required fields are marked *

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>