Mt Gox是不是一个骗局？我的所有BTC被卷走了！

[MC]

前几天在Mt Gox上小玩了一把，赚了一些钱，于是今天又追加了1000元人民币进去，结果前面在买进BTC之后却发生了意见让我彻底无语的事情，我买入的所有BTC全部被withdraw到了一个未知的地址里去了
下面是我最近10条的交易纪录
When Type Description Delta BTC Delta USD Total BTC Total USD
06/08/11 14:50 Withdraw BTC 18DgU4wbHoEpzsBm2ct9S52pBWXYVStwGZ -6.63 0 0.009 0.623
06/08/11 14:49 Bought BTC 1.67 for 29.9784 1.67 -50.064 6.639 0.623
06/08/11 14:41 Bought BTC 4.97 for 29.69 4.968 -147.5 4.969 50.687
06/08/11 13:35 Sold BTC 6.95 for 28.5134 -6.95 198.168 0.001 198.187
06/08/11 05:59 Bought BTC 6.94 for 27.2253 6.942 -188.998 6.951 0.019
06/08/11 05:29 Sold BTC 6.95 for 27.1722 -6.95 188.847 0.009 189.017
06/08/11 05:28 Bought BTC 6.93 for 27.2256 6.928 -188.619 6.959 0.17
06/08/11 05:28 Sold BTC 6.96 for 27.1226 -6.96 188.773 0.031 188.789
06/08/11 05:28 Bought BTC 0.03 for 27.037 0.027 -0.73 6.991 0.016
06/08/11 04:10 Bought BTC 1.99 for 28.1817 1.987 -55.997 6.964 0.746

现在不知道怎么办好了
前面写信给Mt Gox了，不知道会不会有回复
希望大家以后谨慎交易
另外，希望有多余BTC的朋友能够友情赞助一些，谢谢大家！我的BTC地址：
1AC6Hr7snMesgVVUEcQBqpZWWKbhU1YWVU

[darasion]

搭车铜球。

1LWhP48iKo2FTuzugAS5WbaGL9URuk1huj

[MyDF]

如果知道Mt Gox的用户名和密码，谁都可以转走你的BTC。

[laihj]

....什么叫"多余的BTC"

[burbo]

楼主电脑是不是中毒了，密码被人偷走了？

[MC]

@MyDF 如果知道我的用户名密码，这个概率很小，转走我的BTC有什么意义呢？为什么不直接转走美元？

[MC]

@burbo Mac下有偷Mt Gox密码的病毒？

[Hyperion]

@MC 转btc查不到吧...没办法追踪

[burbo]

比较奇怪，坐等mtgox回复

[MC]

@Hyperion
http://blockexplorer.com/address/18DgU4wbHoEpzsBm2ct9S52pBWXYVStwGZ
这里能看到交易信息，但是无法跟踪到人

[MyDF]

@MC 转走$有帐户可查，转走BTC无法追踪，这也就是bitcoin的不可控性与恐怖之处。

[MC]

@MyDF 我现在无语了，我现在比较费解的是，到底是我的密码被盗了，还是说Mt Gox有问题，我本地的系统环境应该是比较安全的

[xunlu]

安全性确实很头痛啊,被盗了真是一点办法没有,Mt.Gox有消息了吗

[MC]

@xunlu 还没有，那个账号也没有任何其他交易记录，很奇怪

[fanzeyi]

我真心想说 干嘛要向Bitcoin投银子呢

[bitgold]

建议你将信息post到bitcoin论坛上，一个是给他们一定压力，还可能会有一些热心人来帮忙： http://forum.bitcoin.org/index.php?board=8.0
不大可能是MtGox内部问题，这点钱对他们来说实在是太少了。

[MC]

@bitgold 好，谢谢！

[yylyyl]

你悲剧。。。慰问一下。

[ayconanw]

mtgox应该不至于卷这么一点钱，他们每天上百万美元的交易量，何苦坑你这点钱

[sharkroman]

各位注册mtgox时一定要填密码找回邮箱啊

[MyDF]

我大概知道被盗的原因了，刚才点开自己的浏览器，发现在mtgox的登录用户名和密码是明文写在地址栏的，象这样：

https://mtgox.com/users/login?username=someone&password=kbidie19&%^

即使你的密码足够复杂，只要有人接触你的电脑翻看你的访问历史就能查到密码。

[Rice]

@MyDF 这个网站居然连这个都做不好

[virushuo]

@MC 这问题最后有啥说法没？

[MC]

@virushuo 他们回信说应该是密码被盗，btc无法追回，但我一直没搞懂密码是在怎样的场景下被盗的。。。

[darasion]

这么说，盗MtGox密码是个很好的主意？

[GordianZ]

@MyDF 这个太狠了，至少得用个POST提交啊⋯⋯

[goat]

我也觉得mogox不安全，我上面的43刀被人买了bitcoin然后提走了

[real_newbie]

看來似乎是有人低調的找到了黑的方法, 然後....

[Mr_X]

而现在是考验心理素质的时候了。各种大量抛售将 BTC 的汇率打压到了 13 左右（确实是大笔大笔的抛售，我从 Mt. Gox 逐笔成交看到的）。现在应该是靠各种买家吧价格顶在 13-14。

[bitgold]

@GordianZ
登录页源码是用javascript post 提交的。这问题在论坛上以前讨论过，好像只是密码错误时在旧版本IE中才出现这种情况。是个问题但不是想象中的那么严重,而且是https traffic.

$.post("/code/login.php", { "name": name , "pass": pass }, onServer , "json" );

[bitgold]

@goat
找他们查询了没有？ 听起来都得小心了。

[goat]

@bitgold 他们给我的回复跟给楼主的是一样的

[Wowbeing]

多余的btc？呵呵

[jacobfan]

看来是这个原因： http://forum.bitcoin.org/index.php?topic=18709.0
关键词：CSRF vulnerability

[Livid]

看来 CSRF 的可能性真的很大。

你访问 Mt Gox 之后没有登出，然后又访问了别的和 Bitcoin 有关的恶意网站。然后别的网站可以用 Ajax 来模拟你在 Mt Gox 上的 Get 或者 Post 请求，然后……

[MC]

好吧，那段时间访问比较多的是bitcoinbonus之类的btc奖励类的网站（由于本人机器性能问题，没有去挖矿，所以那些挖矿相关的网站是否安全我不清楚），所以还是建议大家不用贪小便宜，去一些比较主流的btc网站

[chlangyue0168]

谢谢楼主的提醒

[bitgold]

@MC
多谢提醒，捐助0.61个BTC，以示安慰感谢。

[pinepara]

@bitgold 哇，米人⋯⋯求捐助⋯⋯

[MC]

@bitgold 谢谢亲～感激不尽～

[bitgold]

@MC
没啥，老geek帮小geek一把。MtGox这次漏子可捅大了，早该倒了。

[ideeinfo]

楼主是早期牺牲者啊

[just44]

真可怕，我已经把gmail密码改了，赚了10几个，打算抛BTC，不玩了。。。

[MC]

@just44 google今天也提醒我改密码了。。。不知道是什么情况，为何Google会叫我改密码，难道是所有收到mtgox邮件的用户都需要改？

[jacobfan]

@MC google的人将泄露的mtgox数据库中的gmail地址都加了这种保护

[upoker]

太爱google了，今天也提示我修改密码