O documento discute estratégias de segurança cibernética, incluindo: 1) Realizar testes de penetração em corretoras de criptomoedas brasileiras para descobrir vulnerabilidades e melhorar a segurança; 2) Divulgar os resultados dos testes para educar o público e incentivar as corretoras a melhorarem suas defesas; 3) Defender que a segurança deve ser a principal prioridade das corretoras e do setor de criptomoedas no Brasil.

1. Como invadir uma exchange
Leandro Trindade
< ccess.co >
< x15tech.com >
< thinkhacker.blogspot.com >
Contato:
< leandro@ccess.co >
< leandro@x15tech.com >

2. O experimento do marshmallow

3. Quem sou
• Leandro Trindade
• Bacharel em Ciência da Computação pela UnB.
• Empresário, CTO da X15 Tecnologia, COO da
aCCESS Security Labs.
• Programador multi-linguagem.
• Pesquiso falhas de segurança em sistemas, tanto
físicos como remotos, desde os 14 anos de idade.

4. Cenário
• 2017 - Explosão nos preços, exchanges não
conseguiam lidar com o tráfego.
• Aumento exponencial de incidentes de segurança
envolvendo Criptomoedas.
• Sistemas ainda não estavam robustos e seguros para
lidar com o que estava por vir.
• Modernização dos ataques, melhor risco x
recompensa para cibercriminosos

5. Hackativismo
• Perícia nas vítimas para descobrir vetores de ataque e
fechá-los.
• Descoberta de falhas de segurança em plataformas.
• Notificar sobre as falhas de forma responsável.
• Cronometrar a velocidade de resposta das exchanges e
avaliar seu modo de resposta.
• Divulgar detalhes das falhas e avaliação das exchanges
para a comunidade. (Ranking de Exchanges)

6. Mas por quê??

7. O Brasil e a segurança
• O Brasil está em 7° Lugar do mundo em crimes
cibernéticos.
• É um dos países que menos investem em segurança.
• Fontes:
• https://www.cbsi.net.br/2018/05/brasil-e-lider-em-cibercrime-mas-pouco.html
• https://webinsider.com.br/seguranca-da-ti-no-brasil-muito-falatorio-pouca-evolucao/

8. O Brasil e a segurança
• O desenvolvimento apressado de sistemas é exaltado.
• Deu algo errado? A culpa é do hacker
• Isso pode mudar com a LGPD (Lei Geral de Proteção de
Dados) que entrará em vigor a partir de fevereiro de 2020
• Quando existe segurança no currículo universitário, é
tratada como uma disciplina secundária.
• Impunidade.
• Desestímulo e perseguição à White/Gray Hats.

9. ACCESS - Objetivos
• Descobrir riscos antes que atacantes o façam.
• Proteger o lado mais fraco, os leigos, o mercado de
criptos precisa desse capital para continuar
crescendo.
• Desestimular o amadorismo no desenvolvimento de
plataformas financeiras.
• Libertarianismo: o mercado deve se auto-regular.
• Ser seguro tem que ser o foco principal da sua
marca.

10. ACCESS - Objetivos
• Educar o público para a importância de se optar por
plataformas mais seguras.
• Fornecer informações antes mantidas ocultas a
respeito dos riscos reais de cada exchange.
• Existe um abismo entre a linguagem técnica e o
público geral, para incentivar a auto-defesa é preciso
estabelecer pontes de comunicação.
• Saber atacar para saber se defender.

11. Relatório de
Segurança
em
Corretoras
Brasileiras
● 35 Vulnerabilidades e
contando...

12. Ranking de exchanges por
segurança (critérios)
• Crítica - CVSS >= 8
• Grave - CVSS entre 6 e 8
• Média - CVSS entre 4 e 6
• Leve - CVSS < 4
Fonte: https://www.first.org/cvss/specification-document
• Ponto Fraco - Implementações
contra os padões de segurança,
que associadas a mais
vulnerabilidades podem se
tornar riscos
• Ponto Forte- Implementações
acima dos padrões de
segurança do mercado

13. Ranking de exchanges por
segurança (critérios)
• Falha Crítica - 15pts
• Falha Grave - 9pts
• Falha Média - 6pts
• Falha Leve - 3pts
• Ponto Fraco - 1pt
• Ponto Forte + 1pt
• Incidente - 6pts
• Ignorar clientes
atingidos - 12pts
• Demora para corrigir -
pontuação da falha x 2
Atenção: a sua colocação no ranking de exchanges
NÃO ESTÁ A VENDA!

14. Ranking de exchanges por
segurança

15. Ranking de exchanges por
segurança
1. Walltime (+2 pts)
2. Profitfy (+1 pt)
3. PagCripto (-1 pt)
4. BitcoinTrade (-2 pts)
5. BTCBolsa (-7 pts)
6. 3xBit (-9 pts)
7. Mercado Bitcoin (-22 pts)
8. Negocie Coins (-24 pts)
9. Atlas (-38 pts)
10. Foxbit (-61 pts)
11. Braziliex (-63 pts)

16. Mercado Bitcoin
● Vazamento de Secrets de APIs
CWE-200Sistema de Homologação

17. Negocie Coins
● Vazamento de cookies pelo blog
CWE-922Trace.axd ativado

18. Atlas
● Vazamento do token de reset de senha
CWE-200, CWE-640

19. Braziliex
● Vazamento do suporte CWE-200

20. Braziliex
● Saque remoto de bitcoins de outros clientes
CWE-200, CWE-79via XSS

21. Braziliex
● Token de saque não aleatório
CWE-341id do MongoDB

22. Foxbit
● Vazamento dos documentos dos clientes
CWE-92215.000 arquivos

23. Foxbit
● Vazamento de código e chaves privadas
CWE-540, CWE-552Corretoras Alphapoint

24. NewCash
● Vazamento dos documentos dos clientes
CWE-922via Apache index
By: Bruno Silva

25. A segurança vai muito além
do código
• Implementar políticas seguras para a sua empresa.
• Controlar acessos a nível microscópico, cada
funcionário só pode ter acesso ao imprescindível
para seu trabalho.
• Realizar frequentemente testes de penetração e
engenharia social.
• Reforçar políticas de rede, usar camada IPSec.
• Grupo de monitoramento e resposta a incidentes.

26. A importância do Bug Bounty
• Deem preferência a empresas que oferecem Bug
Bounty para pesquisadores independentes.
• Existem 2 tipos de plataforma:
1. As que fogem e perseguem os pesquisadores.
2. As que dão a cara a tapa.
• Se possuir código open-source melhor ainda.
• Todos irão dizer que estão seguros mas poucos irão
querer provar, e é assim que podemos saber quem é
quem.

27. Conclusão
• Como invadir uma exchange? No Brasil basta saber
onde clicar...
• Estamos entrando em uma nova era.
• O dinheiro é cada vez menos palpável.
• A privacidade é o seu bem mais precioso.
• A segurança não pode mais ser ignorada ou deixada
para trás.

28. Conclusão
• Qualquer um hoje pode fazer tecnologia, mas poucos
serão bem sucedidos.
• O sucesso na era do dinheiro digital está diretamente
ligado a seu planejamento e respeito a seus clientes.
• Está hora de começarmos a olhar para aquele
segundo marshmallow...

29. Obrigado!

30. Sou empresa
Como proteger meus
clientes?
Por: Thiago Leite
< tfmleite@gmail.com >

31. O que fazer com as
aplicações inseguras?
• Cenário perfeito: desenvolver
com foco em segurança!
• Mas falhas são descobertas
todos os dias em softwares
seguros
• CVE 2018-10933 afetando
a libssh, permitindo acesso
SSH sem autenticação
• Se a aplicação falhar, como
podemos prover segurança?

32. E como compenso as falhas e
vulnerabilidades das aplicações?
• Não é apenas desenvolver de
modo seguro, é possuir
mecanismos que compensem em
caso de falha
• Vale a pena investir em segurança?
• ~ R$ 2,9 bilhões* de reais em
2017 apenas por bancos
• Como compensar aplicações
inseguras?
• muitas, mas muitas formas…
Fontes: http://www.ciab.com.br/publicacoes/edicao/70/a-revolucao-dos-bancos
e https://www.itforum365.com.br/mercado/bancos-investem-mais-19-bilhoes-tecnologia-2017/

33. Segurança Tradicional
• API Gateway
• Controle de acesso a rede
e conformidade
• Firewalls de aplicações
• Firewalls de rede
• Gestão de eventos e
informações de segurança
(SIEM)
• Política de Bug Bounty

34. Segurança Tradicional
• Gestão de identidade
• Proteção de “endpoints”
• Sistemas de detecção e prevenção
de intrusos
• Testes de vulnerabilidades de
aplicações
• Web Gateways
• Mais em:
https://www.gartner.com/en/research
/magic-quadrant

35. Comprei tudo! Estou seguro?

36. NÃO!

37. E então o que eu faço?
• Segurança nunca é plena
• Mudança cultural nas
organizações
• A mudança deve envolver
ferramentas e processos!
• Segurança é conceito que
permeia todas as áreas
• Não é função da TI, mas de
toda a organização
• Cooperação entre todos

38. Então tem mais além das
ferramentas?
• Estrutura organizacional
• NOC (Network Operations
Center)
• SOC (Security Operations
Center)
• CSIRT (Computer Security
Incident Response Team)
• Blue/Red Team

40. Segurança em Camadas
• Operacional
• Comunicações
• Armazenamento
• Identidade do usuário
• Entrega de serviço
• Hardware

41. Sou usuário
Como me proteger?

42. Vazamentos de senhas
517 Milhões já vazaram

43. Vazamentos de senhas
Proteção: Gerenciadores de Senhas

44. Grandes roubos de exchanges
Ás vezes nem todo cuidado resolve

45. Grandes roubos de exchanges
Proteção: Use Carteiras
(Hardwallets)

47. Man-in-the-Middle
Como se proteger: HTTPS

48. Man-in-the-Middle
Como se proteger: HTTPS

49. Phishing
Na internet tudo se copia

50. Phishing
Homógrafos

51. Phishing
Como se proteger: Favoritos

52. Phishing por e-mail e sms
Nem sempre é quem diz ser

53. Phishing por e-mail
Proteção: endereço com +

54. Clonagem de telefone
Em pleno século XXI ela voltou

55. Clonagem de Telefone
Proteção: Remova o número do cadastro

56. Malwares
Andou clicando onde não devia

57. Malwares
Proteção: um bom anti-vírus