DIGITAL FORENSICS:bitcoin investigative

DIGITAL FORENSICS:bitcoin investigative

Bitcoin ถูกเก็บไว้ที่ไหน?

Bitcoin ถูกเก็บไว้ในกระเป๋าเงิน หรือที่เรียกว่า Bitcoin Wallets ซึ่งอนุญาตให้ผู้ใช้ จัดส่ง จัดเก็บ และรับ Bitcoin จากผู้ใช้รายอื่น   กระเป๋าเงินมีส่วนช่วยทำให้กระบวนการลงนามในการทำธุรกรรมทางการเงิน การเผยแพร่ไปยังบล็อกเชน (Blockchain) และการตรวจสอบธุรกรรมทางเงินใด ๆ ที่เข้ามานั้นง่ายขึ้น

กระเป๋าเงินมี 4 ประเภท:

·         กระเป๋าเงินคอมพิวเตอร์ (Computer Wallets) ทำงานเป็นแอปพลิเคชันชันบนคอมพิวเตอร์ และเป็นวิธีการจัดเก็บและรักษาความปลอดภัย Bitcoin ที่พบได้บ่อยที่สุด คำแนะนำในโปรแกรมจะบอกผู้ใช้ถึงวิธีการโอนเงิน โดยทั่วไปแล้ว กระเป๋าเงินเหล่านี้จะถูกระบุโดยไอคอนบนเดสก์ท็อปของผู้ใช้ แต่ไอคอนสามารถซ่อนได้ ดังนั้นจึงสามารถใช้ฟังก์ชันในการค้นหา โดยค้นหาคำว่า “wallet" หรือนามสกุลไฟล์ “.dat”

·         กระเป๋าเงินมือถือ (Mobile Wallets) จะมีอยู่ในสมาร์ทโฟน Android หรือ IOS  โดยทั่วไปแล้ว กระเป๋าเงินประเภทนี้จะมีระบบอินเทอร์เฟซพื้นฐาน และสามารถใช้งานได้โดยง่าย ซึ่งออกแบบมาสำหรับผู้ใช้ทั่วไปที่เพิ่งเริ่มใช้ Bitcoin สามารถระบุได้ด้วย โลโก้หรือไอคอนบนหน้าจอหลักหรือ App Tray ในบางครั้งกระเป๋าเงินมือถือจะมีระบบรักษาความปลอดภัยด้วย PIN รหัสผ่าน หรือการรักษาความปลอดภัยจำพวก Biometric เพิ่มเติม

·         กระเป๋าเงินออนไลน์ (Online Wallets) มีอยู่บนเว็บไซต์และโดยทั่วไปแล้วจะทำหน้าที่เป็นส่วนขยายของการแลกเปลี่ยนที่ซื้อ เข้าถึงได้ด้วยการลงชื่อเข้าใช้งาน (Log-ln) กระเป๋าเงินออนไลน์มีการใช้มาตรการรักษาความปลอดภัยเพิ่มเติมคือ กระเป๋าเงินออนไลน์นั้นจะยากต่อการระบุ ผู้ให้บริการกระเป๋าเงินออนไลน์สามารถระงับบัญชีและสามารถให้รายละเอียดแก่หน่วยงานบังคับใช้กฎหมายเกี่ยวกับผู้ใช้งานภายใต้การสืบสวน

·         กระเป๋าเงินเย็น (Cold Wallets) เป็นอีกทางเลือกหนึ่งในการจัดเก็บ Bitcoin และเป็นวิธีที่ปลอดภัยที่สุด ต้องใช้รหัสส่วนตัวเพื่อส่ง Bitcoin ซึ่งหมุนเวียนไปกับแนวคิดที่จะไม่มีทางที่จะสามารถเปิดเผยกุญแจ (Key) สู่อินเทอร์เน็ต กระเป๋าเงินเย็นเหล่านี้ระบุได้ยากเนื่องจากอาจมีกุญแจอยู่ใน USB ไดร์ฟ กระดาษ หรือถูกจดจำโดยผู้ต้องสงสัย และ Recovery Seeds ซึ่งใช้ในการสำรองข้อมูลกระเป๋าเงิน Bitcoin มักจะมีคำสุ่มอยู่ระหว่าง 12 ถึง 24 คำ (กระเป๋าที่ไม่ต้องเชื่อมต่อกับอินเทอร์เน็ตตลอดเวลา มักจะมาในรูปแบบของ Hardware Wallet หรือ Paper Wallet)

กระเป๋าเงิน Bitcoin ได้มาอย่างไร ?

กระเป๋าเงินคอมพิวเตอร์ (Computer Wallets) และกระเป๋าเงินมือถือ (Mobile Wallets) ส่วนใหญ่มีให้บริการฟรีจากผู้จำหน่ายที่สามโดยตรงหรือใน Apple App และร้านค้า Google Play กระเป๋าเงินออนไลน์ (Online Wallets) และกระเป๋าเงินเย็น (Cold Wallets) มีให้บริการโดยสมัครสมาชิกหรือในดอกเบี้ยอัตราคงที่ เมื่อเลือกกระเป๋าเงิน (Wallets) ให้ไปที่เว็บไซต์ของผู้ขายและพิจารณาคำวิจารณ์และการให้คะแนนของผู้ใช้ ผู้ให้บริการกระเป๋าเงินควรให้ข้อมูลเพิ่มเติม เช่น อัตราแลกเปลี่ยน Bitcoin ปัจจุบันและข้อมูลติดต่อสำหรับการสนับสนุนทางเทคนิค

 

 

Bitcoin ควรถูกรวบรวมโดยเร็วที่สุดเมื่อได้รับการพิจารณาแล้วว่าการยึดทำตามขั้นตอน

1.        การระบุตัวตน (Identification) ทำความคุ้นเคยกับผู้ให้บริการกระเป๋าเงิน Bitcoin ประเภทต่างๆ สำหรับคอมพิวเตอร์ อุปกรณ์มือถือ และเว็บไซต์ เมื่อพบว่ากิจกรรมทางอาญาอาจเกี่ยวข้องกับ Bitcoin มักจะมีเวลาจำกัดในการเข้าถึงกระเป๋าเงิน Bitcoin ของผู้ต้องสงสัย ณ จุดนี้ให้พิจารณาว่าสามารถรับรหัสผ่านหรือรหัสของอุปกรณ์และกระเป๋าเงิน Bitcoin ได้หรือไม่ จำกัดการเข้าถึงอุปกรณ์ทั้งหมด ที่อาจพบหลักฐานได้

2.        การรวบรวม (Collection) หากไม่สามารถเข้าถึงกระเป๋าเงิน Bitcoin ของผู้ต้องสงสัยได้ ต้องป้องกันการปลอมแปลงโดยเปิดอุปกรณ์ในโหมดการบิน (Airplane Mode) หรือใส่ไว้ในถุงฟาราเดย์ (Faraday Bag) เมื่อกระเป๋าเงิน Bitcoin ของผู้ต้องสงสัยไม่มีการเข้ารหัสบนอุปกรณ์มือถือหรือคอมพิวเตอร์ คุณสามารถโอนเงินไปยังกระเป๋าเงิน Bitcoin แผนกที่รับผิดชอบของคุณ ใส่ที่อยู่ของกระเป๋าเงินหรือสแกนรหัส QR หากเป็นไปได้ คลิกปุ่มโอนเพื่อย้ายเงิน กระเป๋าเงิน Bitcoin อาจมีหลายไฟล์ที่เก็บ Bitcoin แยกจากกัน อย่าลืมตรวจสอบโฟลเดอร์ย่อยและแท็บภายในโปรแกรมหรือแอปพลิเคชัน

3.        การเก็บรักษา (Preservation) หลังจากโอน Bitcoin ไปยังกระเป๋าเงินของแผนกที่รับผิดชอบแล้ว Bitcoin จะค่อนข้างปลอดภัย ณ จุดนี้ ให้ปฏิบัติตามขั้นตอนการคุ้มครองพยานหลักฐานและระเบียบการจัดการหลักฐานดิจิทัล ตรวจสอบเพื่อดูว่ากระเป๋าเงินแผนกอนุญาตให้สร้างที่เก็บนิรภัย Bitcoin หรือไม่ นี่เป็นคุณลักษณะด้านความปลอดภัยที่กำหนดให้หลายฝ่ายมีส่วนร่วมในการดำเนินการโอนให้เสร็จสิ้น ผู้ให้บริการกระเป๋าเงินออนไลน์หลายรายให้ความช่วยเหลือเกี่ยวกับการสอบถามและการสอบสวนของหน่วยงานบังคับใช้กฎหมาย

4.        วิธีการสืบสวน (Investigative Use)  Bitcoin มักใช้ใน "เว็บมืด" (Dark Web) ซึ่งเป็นส่วนหนึ่งของ เวิลด์ไวด์เว็บที่ต้องใช้ ซอฟต์แวร์พิเศษในการเข้าถึง เป็นไปได้ว่า Bitcoin ที่ยึดได้นั้นเป็นส่วนหนึ่งของธุรกรรมที่เกิดขึ้นในตลาดเว็บมืด ฐานข้อมูลบล็อกเชน (Blockchain) จะเหมือนกับประวัติการทำธุรกรรมทางธนาคารทั้งหมด สิ่งนี้สามารถให้ข้อมูลและข้อพิสูจน์ที่อาจมีความสำคัญต่อการสืบสวน การติดตามทาง “เงิน” มักจะเปิดเผยผู้ต้องสงสัยและองค์กรได้บ่อยครั้ง

Refer: แปลและเรียบเรียงโดย Opal 

            Bitcoin investigative Field guide

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud #CTF

Digital Forensics: Cryptocurrency

Digital Forensics: Cyber Threats > Cryptocurrency > Part2

BitCoin ถูกแฮก! เรื่องมันยาวและซับซ้อนมากใครสนใจเข้าไปอ่านดู สรุปง่าย ๆ คือ

*คำเตือน: ขอเคลียร์ตั้งแต่ก่อนเล่าละกัน เผื่อบางคนอ่านไม่จบ ปัญหานี้กระทบเฉพาะ wallet ส่วนน้อยมาก ๆ ที่ไปใช้ระบบที่สร้างกุญแจ ด้วยค่าที่ไม่ปลอดภัย ซึ่งปกติแล้วเค้าใช้ค่าสุ่มที่เดาไม่ได้+ปลอดภัยครับ อย่าตื่นตกใจ ราคาไม่ตก ยังไม่เจ๊ง ! จุดประสงค์คือคนมาเล่าอยากให้กลับไปเช็คว่าส่วนน้อยนี้เป็นระบบที่ไหนเพราะมีเงินหมุนเวียนอยู่พอสมควร*

1. กระเป๋า BitCoin จะมีสองส่วนคือ กุญแจลับที่เจ้าของกระเป๋าไว้ใช้โอนเงินกับ wallet address เป็นเลขบัญชีไว้ให้คนโอนเงินเข้า ซึ่งถ้าเรารู้ กุญแจ (หรือคำที่ใช้สร้างกุญแจ) ของคนอื่นเราจะถอนเงิน BitCoin คนอื่นออกไปได้
2. ปรากฏว่ามันมีคนไปทดลองอะไรแปลก ๆ เจอว่า ในโลกเราเนี่ย มันมีระบบอะไรสักอย่างซึ่งเขาก็ยังไม่รู้คืออะไร แต่เกี่ยวกับ BitCoin แน่ ๆ อาจจะเป็นใช้ภายในบริษัทไอที หรือเป็น BitCoin Exchange (เว็บแลกสกุลเงิน), mining pool (ระบบที่คนมาช่วยกันขุต BitCoin), หรือระบบสร้างกระเป๋าเงิน BitCoin ออนไลน์ เนี่ยแหละ ทำการสร้าง กระเป๋าเงินโดยใช้ กุญแจของกระเป๋าเงิน จากค่าที่เดาได้เช่นค่าของ wallet address อันอื่น !
3. ผลคือเขาสามารถเขียน bot ขึ้นมาไล่สแกน blockchain (ที่เก็บข้อมูลการโอนเงินของ BitCoin) เพื่อเก็บ wallet address ทั่วโลกออกมา 290 ล้านบัญชี แล้ว ลองเอาแต่ละอันมา *ใช้สร้างเป็นกุญแจของ wallet address ใหม่, แล้วคอยดูการโอนเงินที่เกิดขึ้น, ถ้ามีการโอนเงินไปที่ wallet address ที่ตรงกับที่เขาสร้างไว้ (ข้อมูลพวกนี้ public ใครก็เข้าดูได้) แสดงว่าเขาก็สามารถเอากุญแจนั้นไปโอนเงินออกได้ (มันจะตรงกันได้ก็ต่อเมื่อใช้ค่าเริ่มต้นที่สร้างกุญแจเดียวกันซึ่งมีโอกาสเพราะมันมีระบบที่ใช้ wallet address อื่นมาเป็นค่าเริ่มต้นที่ใช้สร้าง)*
4. พบว่าภายใน 48 ชั่วโมงตอนเริ่มทดสอบ bot เขาได้กุญแจของกระเป๋าใครก็ไม่รู้ที่มีเงินอยู่ 9.5 BTC มาซึ่งตอนนั้นมีมูลค่าประมาณ 7 แสนกว่าบาท (9 มิย) ตอนที่เจอนั้น bot ยังแค่คอยดูเฉย ๆ อยู่ไม่ได้นำเงิน ออกมาได้ และเงินก้อนนั้นถูกถอนออกไปในเวลา 15 นาที (เขาเอา กุญแจกับ wallet address มา proof ด้วยว่าเขาเจอจริงโดนโอนออกไปจริงและ กุญแจถูกสร้างมาจาก wallet address อื่นจริง)
5. เขาก็รัน bot คอยดูสถานการณ์นี้ไปเรื่อย ๆ ได้กุญแจของบัญชีมากมาย ไม่ได้เป็นโจรแค่ช่างสงสัยเฉย ๆ และอยากรู้ว่านี้มันเป็นสิ่งที่แฮกเกอร์ที่ไหนเอาไป backdoor ระบบไหนไว้รึเปล่า เพราะถ้าซ่อนแบบนี้แล้วค่อย ๆ ขโมยเงินออกไปน่าจะเนียน?
6. จนกระทั้ง มีเหตุการณ์ที่เกิดขึ้นคือเมื่อหลายวันก่อนมี user ชื่อ fitwear มาโวยวายในเว็บ reddit ว่า BitCoin wallet เขาโดนแฮกขโมยเงินออกไป 9 BTC ซึ่งไอ่คนทำบอทนี้ บังเอินมากไปเจอว่า บัญชีปลายทางของคนที่ขโมยเงินของนั้น อยู่ใน list ของ wallet ที่เขามีกุญแจได้มาจาก bot อยู่ เลย ในฐานะที่เป็นคนดี เลยช่วยเอาเงินมาคืนให้
7.ประเด็นสำคัญของเรื่องนี้คือ.. มันมีโจร! ที่รู้ปัญหานี้ก่อนเขา และคอยขโมย BitCoin คนอื่นแบบลับ ๆ อยู่ด้วยวิธีนี้ แต่เราไม่รู้ไอ่โจรนี้เป็นใครกันแน่ และระบบที่สร้าง wallet มีช่องโหว่จากไหนบ้างก็ไม่รู้เหมือนกัน ซึ่งหลักฐานที่เกี่ยวข้องที่มีตอนนี้คือ fitwear บอกว่า ตัวเขาสร้าง wallet มาจากเว็บ Blockchain.info และมั่นใจว่าทำทุกอย่างถูกต้องรักษาความปลอดภัยดี แต่ทำไมโดนขโมยได้?
8. เพื่อเป็นการแก้ปัญหาที่สาเหตุของเรื่องนี้ คนที่เปิดเผยเรื่องนี้ออกมาก็ "หวังว่า" ใครก็ตามที่อ่านเรื่องนี้แล้วเกี่ยวข้องกับการดูแลระบบ BitCoin ช่วยไปสอดส่องโค้ดตัวเองหน่อยว่าโดน "แฮก" หรือ "แอบฝัง" โค้ดที่คอยสร้าง wallet ด้วยค่าไม่ปลอดภัยเข้ามารึเปล่า ซึ่ง Blockchain.info ปฏิเสธว่าไม่เกี่ยวข้องนาจา ใครสนใจแนะนำตามไปอ่านที่มา คนมาเผยเรื่องนี้เค้าไม่ได้มาแต่ลมปากเขามี proof ว่ามีเหตุการณ์นี้เกิดขึ้นอยู่จริง ๆ แอดเล่าแบบย่อ ๆ ครับ

ที่มา:

 #สอนแฮกเว็บแบบแมวๆ

 #https://pastebin.com/jCDFcESz

หมายเหตุ:เนื้อหาในเว็บไซต์นี้มีขึ้นเพื่อวัตถุประสงค์ในการให้ข้อมูลและเพื่อการศึกษาเท่านั้น

* หากมีข้อมูลข้อผิดพลาดประการใด ขออภัยมา ณ ที่นี้ด้วย  รบกวนแจ้ง Admin เพื่อแก้ไขต่อไป
ขอบคุณครับ

#WindowsForensic #ComputerForensics #dfir #forensics #digitalforensics #computerforensic #investigation #cybercrime #fraud