v2 铜币被盗，想定位一下是 V2EX 的问题还是我账号安全的问题

[subpo]

早上起来领铜币，突然发现我的账号 25 号创建了 10 个邀请码，并且已经邀请了人，金币全部花费一空

https://ibb.co/tQ2r22B
https://ibb.co/fY1hL3s

我的登录方式是 gmail 登录，并且没有下载任何有关 V2EX 的 chrome 插件。

[docx]

也许可以考虑先把这 10 个号 ban 了？ @Livid

[BelovedOne]

我的帐号还被盗了呢，可以解决么？
https://www.v2ex.com/member/westoy

[chaselen]

这是咋被盗的，插件吗。。？

[subpo]

@chaselen 不知道，曾经用过 v2 插件，现在没用了。感觉 gmail 登录应该相当安全才对

[threeti]

不一定是 V2EX 相关的插件才会被盗, 其他插件也有可能, 上个月刚被到盗过...

[subpo]

@threeti 可以告知一下你怀疑的插件名不？

[testonly]

gmail 登录按说么容易盗
我觉得你还是想清楚插件，也想一下有没有些不是直接 V2 的但是比较小众一点的插件。
昨天也有人说被盗的，要不被盗的人都将在用的插件贴出来吧

[x86]

之前我在 ns 确实看到了扫号的项目，忘记收藏了

[hhacker]

可能是撞库撞出来的, 就是你的 gmail 被盗了

[shadowyue]

v2ex 的邀请很值钱吗，这都有人来偷

[Meld]

建议兑换邀请码流程里加上两步验证

[Baymaxbowen]

这还有人盗号吗

[BeforeTooLate]

@guimahuangzi @yiiiddd @oyoo @ramieztwyla18117 @z2663219537 @gofast1314 @gezuao @maintiao123 @acblockers @AslieNaim 你们账号是直接购买的吗？什么途径注册的，OP 账号被盗，你们方便可以提供下信息。

[phpdever]

v2 的邀请码，在闲鱼上平均售价为 30 ～ 50 人民币一个，所以铜币还是有一定经济价值的。

[subpo]

@hhacker gmail 不太可能被盗，开了 2fa 的，如果有外部登录我的手机上能看到通知和确认

[somebody1]

@BeforeTooLate
看这名字就像是批量注册的

站长后台能看到更多的注册信息，邮箱啊，IP 地址啊，肯定能看出来

[punish19]

@phpdever 这么贵的啊？难怪经常看到一些高度可疑的水贴。

[falcon05]

@phpdever 那站长可以印钱了

[subpo]

我设想了一下所有情况，最有可能的是老密码不安全了，我注册的比较早，那时候确实没有安全意识，用的比较简单的密码。后面用 gmail 登录后忽略掉了。

我想恳请 @livid 帮我排查一下是否是有人通过密码登录了我的账号，如果有保留记录的话，从 ip 上应该能看出来？这对我非常重要 🙏

[becomesilent]

用几年了一个金币都没得😂

[GensKinsey]

下没下过手机端的 app ？

[ramieztwyla18117]

@BeforeTooLate 我自己注册的，邀请码是闲鱼买的

[ramieztwyla18117]

@GensKinsey App Store 商店下载的手机端 APP 不安全吗？

[renmu]

@ramieztwyla18117 并没有所谓的官方客户端

[ramieztwyla18117]

@renmu 我在商店下载了啊，登录上来是一样的，难道是钓鱼的😰我卸载改密码了

[ljhrot]

建议限制创建邀请码的频率，比如 1 个月只能创建一枚邀请码 @Livid

[Vraw5]

@ramieztwyla18117 #25 V 站只有 web 页面，其他都是私人搞的

[rainfallmax]

我一直 Gmail 登录的，突然有一天登录变成新账号了。然后给站长发邮件，站长给处理了，说我账号被盗登录邮箱被改了。

[linstrong]

竟然有这么多金币，厉害👍

[gbadge]

一般是自己的失误，可能你有安全不到位的地方

[ryalu]

@gbadge #30 希望你一直能安全到位.....

[GensKinsey]

@ramieztwyla18117 当然不安全。v 站没有官方客户端，那些 app 都是套壳的，你用户名密码直接进人家数据库了。

[skydcnmana]

@BelovedOne 我之前也被人盗号，莫名其妙，也是没人管： https://www.v2ex.com/t/1023613#reply2

[skydcnmana]

@BelovedOne 另外我也一直在用插件

[JKeita]

找 @Livid 处理

[mcluyu]

啊，我现在才知道一个邀请码这么贵， 要 1 个金币。。。 你金币还挺多的

[yuhaofe]

你这邮箱关联账号泄露的挺多的，估计随便用个免费的库都能查到你用过的密码

[subpo]

@yuhaofe 嗯嗯，我知道，查询过已经是好久都不用的密码了

[frankilla]

一直用 v2next 插件。

[sky3hao]

话说这铜币能买馒头吗?

[dcdc6]

我之前的 v2 号，也是莫名其妙丢了，直接显示用户名不存在，但我可以确定是 100%没有记错用户名，因为记录进密码软件了。
给 [email protected] 发邮件也没有回信，不了了之了

[chihiro2014]

@yuhaofe 这是啥网站？

[shwomen1234fs]

@chihiro2014 #42 https://haveibeenpwned.com/

[Xu3Xan89YsA7oP64]

@dcdc6 #40 有没有可能是被永封了

[potatowish]

@sky3hao #40 我只知道比特币可以买披萨

[maintiao123]

@BeforeTooLate 我也是咸鱼买的

[Livid]

@docx 谢谢，这 10 个账号已经被彻底 ban 。

[Livid]

@subpo 你的账号在 11 月 25 日被 IP 116.48.38.206 (UA: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/127.0.0.0 Safari/537.36) 用密码登录成功。

[Livid]

为了提醒更多人注意密码安全问题，这个主题会被置顶一段时间。

[wunonglin]

@Livid 建议生成邀请码可以视为高风险操作，需要验证二次验证

[Livid]

@wunonglin 如果账号之前就没有启用 2FA ，被盗号者拿到密码，然后登录进来，盗号者用自己的设备开启 2FA ，依然无解。

V2EX 很多年前就有 2FA 功能，但我们没有强制所有账号必须用。

说到底这是每个人自己的选择。

[wunonglin]

@Livid #51 或者是生成邀请码后，需要发送一个确认邮件以及一个“冷静期“，比如 24 小时。这样生成后，需要用户自己进入邮箱确认，以及在“冷静期”内可以撤回生成，这样可以有一个二次确认以及缓冲的时间。

[wunonglin]

@Livid #51 生成邀请码的频率也可以做个限制。

[chenqh]

居然有 10 个金币,我才 4 个.

[Livid]

新的限制上线：

邀请码创建功能现在需要在打开 2FA 功能 90 天之后才能使用。

[Cheons]

@Livid
不能因噎废食，一刀切吧。。。
说到底 OP 是自己的密码管理有问题。
自己的事情自己的选择，自己承担。

短时间多次生成邀请码 or 生成三个以上邀请码启用 2FA ，是否更合理？

[ariza]

@ramieztwyla18117 已经被 ban 了

[gbadge]

@Cheons 就这样，蛮好，别再麻烦人站长了

[ssh]

@ljhrot 典型的不解决根本问题

[gegeligegeligo]

@yuhaofe #37 这个在哪里查的

[MXMF]

把 @ramieztwyla18117 BAN 掉之后 就找不到源头了吗不是，完全可以找这个购买者 查到这个盗号的闲鱼，然后购买邀请码的人，看是否是同一个闲鱼账号，这样最起码能找到相关人员，就算不是盗号的也肯定是合作者，这一下子 BAN 掉，线索断掉了

[ChrisFreeMan]

我还是很佩服这些人，哪里有利益就能摸到哪里。执行力能力很强。

[MartinWu]

啊？原来邀请码也能卖钱？

[chanChristin]

@Cheons 还行吧，邀请码说实话也挺贵的

[loopq]

看了一眼咸鱼价格，标价 30 ，还挺贵的~

[xiangbohua]

@ChrisFreeMan 是啊，要不怎么他们发财呢。哎，话说就这个回复，我距离 50 快又远了一点

[subpo]

@Livid 感谢感谢，看来是遗留的弱密码问题

[kepenj]

注册了快 10 年了，一个金币都还没攒够的路过~~

[HojiOShi]

@Cheons #56 本来生成邀请码应该就是慎之又慎的操作，现在还能拿来卖钱，那宁可策略更加严格一点，也不能给偷盗者可乘之机。

[FakerLeung]

没想到我的金币都能值个 200 块