NOWY KANTOR FreshBTC.com

[FreshBTC]

Witamy po przerwie,

Serwis FreshBTC już działa, przerwa była spowodowana koniecznością weryfikacji problemu zgłoszonego przez użytkownika qertoip. Po raz kolejny ukłon w Pana stronę. Przeprowadziliśmy krótką rozmowę telefoniczną, myślę że problem możemy uznać za rozwiązany pomyślnie.

Spieszę w kwestii wyjaśnień owego problemu - wczoraj w godzinach nocnych (23-00) zaksięgowaliśmy błędnie wpłaty 5 użytkowników. Błąd polegał na ich podwójnym naliczeniu. Przyczyną problemu było bardzo duże obciążenie serwerów bazodanowych, związane z ogromną ilością zapytań z zewnątrz. Dwóch z nich zachowało się uczciwie, nie dokonując obrotu "nadpłatą", jedna osoba (wyżej wspomniana) dokonała wypłaty, jednak jak rozumiemy w dobrzej wierze i oczywiście wyprowadzone pieniądze zobowiązała się zwrócić. Ostatnie 2 osoby wykonały szybkiego obrotu błędnie naliczoną wpłatą i wyprowadziły gotówkę z systemu.
Posiadamy ich dane kontaktowe i jesteśmy na etapie indywidualnego wyjaśniania sytuacji. Dla pozostałych osób problem nie był zauważalny i mogą one dowolnie dysponować wszystkimi środkami.

Przez ostatnie godziny, kiedy serwis był wyłączony, wprowadziliśmy istotne poprawki w module księgowania. Gwarantuję, że podobna sytuacja nie będzie miała miejsca w przyszłości. Dodatkowo, niejako "przy okazji" wprowadziliśmy drobną poprawkę do błędu w interfejsie, zgłaszanego kilka stron wcześniej przez qertoip.

W związku z koniecznością dodatkowego zwiększenia bezpieczeństwa serwisu, podjęliśmy decyzję o czasowym ograniczeniu wypłat z niego. Wszystkie transakcje jak i wpłaty (gotówkowe, przy pomocy płatności on-line oraz transfery bitcoin) będą funkcjonowały bez zmian. Zasadnicza różnica polegać będzie na wykonywaniu przez nas wypłat jedynie w godzinach 9 - 22 (prawdopodobnie co 2-2,5 godziny).
Zmiana poniesie za sobą konieczność drobnej modyfikacji w regulaminie systemu, oczywiście będzie musiała zostać przez każdego zaakceptowana indywidualnie. Najprawdopodobniej stanie się to na początku przyszłego tygodnia. W przypadku braku akceptacji, oczywiście dokonamy zwrotu zdeponowanych środków.

W tym momencie wolelibyśmy się nie ustosunkowywać do treści jak i zarzutów stawianych przez Pana z Bitchange.pl. Sprawę próby przełamania naszych zabezpieczeń przeanalizujemy i zdecydujemy co dalej. Jeżeli zaistnieje taka potrzeba, zostaną Państwo o tym poinformowani w osobnym komunikacie.
Jeżeli chodzi o kwestie stricte prawne, chętnie w wolnej chwili podejmiemy rzeczową polemikę, uważam że temat waluty Bitcoin jest bardzo ciekawym zagadnieniem w świetle polskiego (i nie tylko) ustawodawstwa.

Przypominamy, że w dalszym ciągu wszystkie Państwa sugestie są mile widziane (najlepiej w postaci e-mail). Wszystkie zgłoszenia analizujemy i - jeżeli zachodzi taka potrzeba - odpowiednio reagujemy.

Na końcu kierujemy serdeczne podziękowania w kierunku Pana qertoip za ogromy wkład w społeczność Bitcoin.

[bitchange.pl]

Witamy po przerwie,

Serwis FreshBTC już działa, przerwa była spowodowana koniecznością weryfikacji problemu zgłoszonego przez użytkownika qertoip. Po raz kolejny ukłon w Pana stronę. Przeprowadziliśmy krótką rozmowę telefoniczną, myślę że problem możemy uznać za rozwiązany pomyślnie.

I bardzo dobrze.

W tym momencie wolelibyśmy się nie ustosunkowywać do treści jak i zarzutów stawianych przez Pana z Bitchange.pl. Sprawę próby przełamania naszych zabezpieczeń przeanalizujemy i zdecydujemy co dalej. Jeżeli zaistnieje taka potrzeba, zostaną Państwo o tym poinformowani w osobnym komunikacie.
Jeżeli chodzi o kwestie stricte prawne, chętnie w wolnej chwili podejmiemy rzeczową polemikę, uważam że temat waluty Bitcoin jest bardzo ciekawym zagadnieniem w świetle polskiego (i nie tylko) ustawodawstwa.

Ja nie stawiam zarzutów: ja po prostu uczulam - można sobie narobić biedy jak zapomni się o czymś na produkcji (np. ustawieniu firewalla i serwera http). Po to są testy, żeby wyszło jak najwięcej błędów - ja byłem bardziej niż zadowolony, że qertoip przejechał mój system wzdłuż i wszerz, miałem też próby ataków sql injection na formularze - i dobrze, po to są testy żeby testować.

Na końcu kierujemy serdeczne podziękowania w kierunku Pana qertoip za ogromy wkład w społeczność Bitcoin.

Jemu to pomnik (albo piwo choć), nie dość że nas ratował, to jeszcze teraz Was.

Ogólnie, to szkoda pary, bierzmy się do pracy i zadowalajmy userów: PEACE

[qertoip]

Dzięĸuję za uznanie, i za to że jeszcze się na mnie nie obraziliście

Zgodnie z ustaleniami tel. pieniądze zostały od ręki zwrócone na standardowe konto serwisu. Zaksięgowane pewnie będą jutro lub w poniedziałek.

Wypłata przeze mnie środków miała na celu sprawdzenie, czy problem jest realny, czy wirtualny. Okazał się realny. W szczególności chciałem sprawdzić, czy istnieje jakiś dodatkowy mechanizm "obronny" przy wypłacie środków, np. sprawdzenie globalnego bilansu i zablokowanie wypłaty w razie niespójności.

[batouzo]

Błąd polegał na ich podwójnym naliczeniu.

Przyczyną problemu było bardzo duże obciążenie serwerów bazodanowych,

1. iptables na firewall osobnym
2. iptables na maszynie
3. (ew. też limit w serwerze http)
4. limit w samym skrypcie PHP
przynajmniej 1 z w/w to podstawa...

związane z ogromną ilością zapytań z zewnątrz.

Wasze serwery MYLĄ SIĘ W STANIE KONT O 100% gdy są silnie używane?!



To pozostaje mieć nadzieję że nie będą nigdy.... aktywnie używane

Ok w/w i inne 5 błędów = to NIE jest solidny polski exchange który podchodzi serio do bezpieczeństwa.
No cóż chociaż macie dobry marketing i grafika

Next!

[FreshBTC]

Wypłata przeze mnie środków miała na celu sprawdzenie, czy problem jest realny, czy wirtualny. Okazał się realny. W szczególności chciałem sprawdzić, czy istnieje jakiś dodatkowy mechanizm "obronny" przy wypłacie środków, np. sprawdzenie globalnego bilansu i zablokowanie wypłaty w razie niespójności.

Mechanizm sprawdzania bilansu jest zaimplementowany od samego początku, stan Pana portfela to nic innego jak suma cząstkowa Pańskich uznań i obciążeń. Problem z ww. sytuacją był taki, że wpłata BTC została przez system zaksięgowana 2 razy jako 2 'osobne' transakcje (z tym samy txid), a więc miał Pan możliwość pełnego zarządzania tą kwotą, dlatego mechanizmy o których Pan wspomniał nie miały prawa zadziałać w tej sytuacji.

Dodaliśmy dodatkowe zabezpieczenie które ma zapobiec takim sytuacjom w przyszłości.

Jeszcze raz serdecznie dziękujemy za szybką informację o trafieniu na ten błąd, oraz za zwrot nadmiernej wypłaty.

1. iptables na firewall osobnym
2. iptables na maszynie
3. (ew. też limit w serwerze http)
4. limit w samym skrypcie PHP

1,2 są
3,4 jest
... też jest.
Proszę też pamiętać ze serwer z WWW/PHP jest tylko serwerem Frotendowym.

Wasze serwery księgują źle operacje na KASIE gdy są silnie używane?!

Nie, one jedynie zapisują dane o zmianie salda. Zachowanie które miało miejsce obecnie, miało miejsce tylko dla ułamka transakcji BTC odnotowanych w naszym serwisie. Jak już pisałem wyżej, problem został całkowicie wyeliminowany, a dane o stanie poszczególnych kont skorygowane.

[batouzo]

1. iptables na firewall osobnym
2. iptables na maszynie
3. (ew. też limit w serwerze http)
4. limit w samym skrypcie PHP

1,2 są
3,4 jest
... też jest.
Proszę też pamiętać ze serwer z WWW/PHP jest tylko serwerem Frotendowym.

Tak, tak, zawsze wszystko jest - tylko że nie działa.
Jak kolega z drugiego kantora(?) puścił prosty test ab odpytujący Wasz serwer z tego samego IP i to już "rozwaliło" serwer,
to nie było 1 ani 2,3 ani 4 bo dowolne z nich by zablokowało jedno IP automatycznie.

Wasze serwery księgują źle operacje na KASIE gdy są silnie używane?!

Nie, one jedynie zapisują dane o zmianie salda.

"jedynie". Kultowe

[ramzes]

No cóż chociaż macie dobry marketing i grafika

Eee, szablony zakupione za max. 20 $ to nie dobry grafik


Z tego co widzę bezpieczeństwo wygląda tak samo jak grafika, wszystko pięknie ale w praktyce do d.py

[Grevinsky]

Coś wam się sypneło
Fatal error: Call to a member function add() on a non-object in

/var/www_frontend/application/classes/kohana/exception.php on line 21

Nie działa link z rejestracją pod firefoxem, na IE działa.

W pole email można wpisać cokolwiek, skrypt nie sprawdza poprawności adresu.

Wygląda na to że są pewne problemy z serwerem frontendowym

Zleciłem ofertę kupna 2 BTC po 16 PLN i oto pojawiła się ona w ofertach "sprzedaży" na stronie

głównej.

Pieniądze wpłacone 8 confirmation's temu jeszcze nie są widziane w portfelu!

Pierwsza dziura polega na tym, że hasła są przesyłane e-mailem.

Wszystko przesłane e-mailem należy traktować jako upublicznione (No chyba, że znana jest dokładna ścieżka wiadomości i na każdym etapie był użyty SSL, co w ogólnym przypadku nie jest prawdą).

Dodatkowo nie jest dobrze, gdy hasła latami zalegają w poczcie i jej backupach... właśnie dlatego robi się np. wygasanie wszelkich linków aktywacyjnych i resetujących hasło po 24h, żeby backup skrzynki nie dawał dostępu do konta w serwisie transakcyjnym.

Wiem, hasło można zmienić, jest też OTP, ale domyśla ścieżka, na której poprzestanie 90% użytkowników jest teraz dziurawa.

Dziwię się, że nikt jeszcze na to nie zwrócił uwagi.

wysłane 33 bloków, są 33 potwierdzenia w sieci bitcoin a i tak nie ma w wallet na freshBTC więc na chwilę obecną przelane BTC są zagubione.

Od wczoraj wieczorem do dziś rano strona freshbtc.com mi nie działała, dopiero jak zrestartowałem połączenie i przyznało mi nowe IP zaczęła się ładować. W tym samym czasie wszystkie inne strony, które odwiedzałem działały. Przez proxy się wyświetlała a normalnie nie. Internet mam mobilny.

Nie działa logowanie na stronę.

Po wpisaniu danych osobowych i numeru konta wyskakuje mi czerwony komunikat "Security creation failed".

itd...



------------------------------

Tej całej gadki nie powinno tu być. Profesjonalna ku**a (tak... właśnie przekląłem) firma oferuje stworzenie kantoru a finalnie non stop wypowiada się w tym wątku przepraszam za to za tamto a to już poprawiliśmy i tamto też oraz przy okazji korzysta z porad forumowiczów.

Widzę tu 3 różne powody każdy zły:

1. Zbyt wcześnie udostępniony kantor bez testów - amatorka. Lepiej było go robić kolejne 2 miechy i dać mega solidny system.
2. Kasa na horyzoncie ale zerowe kompetencje. Chcieć a móc. Z tego co widzę nie do końca macie pojęcie o robocie. Jak mam wam ufać w przyszłości?
3. Myśleliście że będzie łatwiej a nie jest i dyplomatycznie Per Pan nadrabiacie nieudolną próbę stworzenia stabilnego systemu.

Poco się jeszcze z tym szarpiecie? Ten projekt już jest niewypałem. Pierdolić wasz profesjonalizm. (bo grzeczniej tego nie nazwę)

3 razy kasowałem swoja odpowiedź aż dziś nie wytrzymałem. Pytam się poco ten kantor? Wyłączcie to albo bede wam robił czarny marketing bez kitu...

I na koniec jak jesteście choć trochę inteligentni to zamkniecie ten projekt. Odpalicie go pod nową nazwą z doświadczeniem właśnie nabytym, jako nowa firma. Oczywiście nie zmieni to faktu że w dalszym ciągu będziecie niekompetentni jako firma tworząca kantor. I juz jesteście kolejnym zagrożeniem dla reputacji BTC.

[Bemx2k]

Ostro pojechane ,
a juz mialem nadzieje ze bedzie nowy kantor z nowymi mozliwosciami

[Mahkul]

No niestety, ale muszę się zgodzić z użytkownikiem Grevinsky, acz być może zbyt dobitnie to wyraził. Też nie chciałem się odzywać, ale praktycznie z każdym dniem od odpalenia serwisu wychodzi coś nowego. Nie można ogłaszać oficjalnego startu serwisu, kiedy tkwią w nim tak podstawowe błędy. Wysyłanie hasła mailem? Come on... kto wpadł na taki pomysł, przecież to proszenie sie o klopoty i totalny brak wyobraźni. Hasło mailem to można wysyłać do serwisów typu kurnik albo pudelek (chociaż też pewnie wysyłają wygasający link resetowania).

A co do tych wszystkich błędów to powinny były wyjść podczas Waszych testów, nim w ogóle ten serwis został ogłoszony. Nie wiem ile czasu spędziliście na testowaniu, ale skoro na stronie nie działała poprawnie nawet elementarna matematyka, nie sprawdzany był format adresu email etc. to aż boję się pomyśleć jakie jeszcze niespodzianki drzemią w Waszym kodzie. Co by było, gdyby nie Qertoip? Co będzie jak ktoś Wam zapuści atak XSS? Śmiem twierdzić, że skoro pole emailowe było nieweryfikowane to ktoś może wam zrobić przykrą niespodziankę jakiś sprytnym usernamem. Na BitMarkecie takie próby to standard także to tylko kwestia czasu aż ktoś zacznie się "wyżywać" na waszym skrypcie rejestracji / logowania.

Proponuję zrobić profesjonalny audyt strony, zarówno pod kątem kodu jak i samej konfiguracji serwera.

[Camis]

FAIL FAIL FAIL


Odchodzę, po tych 'audytach' wychodzi ze ten 'kantor' jest słabo zabezpieczony.


Oprawa estetyczna, ale w środku licho.


IMHO już jesteście spaleni.

NIE POLECAM.

[ramzes]

Jedna wielka porażka na starcie. Czy nie lepiej było zrobić beta-testy dla 10 użytkowników?

[Bemx2k]

Stare przyslowie
z motyka na slonce ,chyba cos w ten desen bylo .

[zwierzak]

A mi dzisiaj udało się zalogować i korzystać z serwisu bez szyfrowania pomimo https na początku adresu. Dla ciekawych: wystarczy skasować ssl. z dowolnego adresu, na większości serwer nie przekieruje ciebie. Nie przyglądałem się czy cookies mają secret only (MUSZĄ MIEĆ!).

Odnośnie designu. Dobrze jak strona posiada świetny design, bo to przyciąga klientów. Mogę się założyć, że jak byś zwykłym konsumentom pokazał strony FreshBTC/Bitchange/Bitomat to można je posortować następująco względem ilości osób, które by się zarejestrowały:

1. FreshBTC (ładny layout, fajne logo, wszystko dobrane),
2. Bitomat (wszystko ładnie współgra, jednolite),
3. Bitchange (serwis trochę wyciągnięty psu z gardła, widać że robiony przez typowych informatyków, który wiele z design nie mają wspólnego).

[bitchange.pl]

A mi dzisiaj udało się zalogować i korzystać z serwisu bez szyfrowania pomimo https na początku adresu. Dla ciekawych: wystarczy skasować ssl. z dowolnego adresu, na większości serwer nie przekieruje ciebie. Nie przyglądałem się czy cookies mają secret only (MUSZĄ MIEĆ!).

Odnośnie designu. Dobrze jak strona posiada świetny design, bo to przyciąga klientów. Mogę się założyć, że jak byś zwykłym konsumentom pokazał strony FreshBTC/Bitchange/Bitomat to można je posortować następująco względem ilości osób, które by się zarejestrowały:

1. FreshBTC (ładny layout, fajne logo, wszystko dobrane),
2. Bitomat (wszystko ładnie współgra, jednolite),
3. Bitchange (serwis trochę wyciągnięty psu z gardła, widać że robiony przez typowych informatyków, który wiele z design nie mają wspólnego).

+1
dzięki, mamy kraciaste koszule, czarne oprawki w okularach i pachniemy cebulą

[zwierzak]

+1
dzięki, mamy kraciaste koszule, czarne oprawki w okularach i pachniemy cebulą

Nie miałem na celu obrażać, ale widać, że w wypadku Bitchange liczy bardziej się funkcjonalność i jakość niż ładny wygląd. Dla mnie serwisem idealnym było by połączenie wyglądu freshbtc z jakością działania bitchange. Bo pomimo, że tylko chwilę używałem bitchange to nie wyglądał mi on na takiego robionego tylko pod to by ładnie wyglądał i tylko wyglądał na bezpiecznego (wspominana usługa haseł jednorazowych).

[gordi7]

(...) Bitchange (serwis trochę wyciągnięty psu z gardła, widać że robiony przez typowych informatyków, który wiele z design nie mają wspólnego).

Nie rozumiem. Które elementy layoutu są aż tak rażące?
Prosto, przejrzyście i nawet świeżo. Bez zbędnego "umarketingowienia" formy. Całkiem przyjemnie na tej stronie spędza mi się czas. Podoba mi się.

Gdyby Bitchange zmienił kiedyś szaty to chciałbym mieć możliwość zmiany skóry na obecną

*EDIT*

(...) Bitomat (wszystko ładnie współgra, jednolite).

Nie do końca się z tym zgodzę. Bitomat w zasadzie nie posiadał "oskórowania". Wyglądał zbyt surowo, zbyty domyślnie

[Przemo]

Hmm 2 tygodnie od startu i widze ze kiepsko to wyglada. Nie widze ofert kupna, wykresow a linki w belce srodkowej nie dzialaja. Projekt porzucony?

[Grevinsky]

Co wy widzicie w tym Layoucie. Powinien być maksymalnie wygodny i funkcjonalny. Cały frontpage bym wywalił.
Wchodze na kantor/market to chce od razu widzieć co się dzieje a nie pierwszej kolejności jsc przewijający mi info o zaletach i obrazki. To powinno być upchnięte w jedną podstronę i oznaczone nie inwazyjnym przyciskiem. Maksymalna prostota aby przy dużej odwiedzalności nie zapychać serwera.

Jak się robi strony to trzeba je dzielić na te co maja ładnie wyglądać i na te co maja szybko działać.
Nie powiem, design jest ładny ale na pewno nie funkcjonalny.

Tak na logikę kto będzie ten cały fronpage czytał i poco? Chce obracać maksymalnie szybko i wygodnie swoja kasą a nie przebijać się do logowania poprzez tony niepotrzebnego materiału.

Btw i jak już taki lay to start powinien być tu wywalony maksymalnie przed moje oczy tak żeby osoba z dużą wadą wzroku bez okularów widziała gdzie kliknąć (joke) ale poważnie start zamieszany w menu ? to przecież istota tej strony najważniejszy jej element.

[mgg]

Co do błędów itp.. dobrze, że wychodzą teraz przy początkowym ruchu na stronie a nie jak się rozkręci.

Pozdrowienia
życzę wytrwałości autorom a tym co znaleźli błędy gratuluje wyobraźni i zdolności