Он нанял хакера для восстановления пароля и смог получить доступ к своему счету с 3 миллионами долларов в биткоинах.

Жорди Перес Коломе, El País Madrid Немец Майкл купил несколько биткоинов в 2013 году и хранил их в цифровом кошельке с паролем. Для его создания он использовал генератор паролей Roboform и сохранил его в зашифрованном текстовом файле. Вскоре этот файл с паролем был поврежден, и он потерял его навсегда: «В тот момент я подумал: »Ладно, черт, около 2 000 евро (2 200 песо США, примерно)..... Ну, вы просто разозлились», - говорит Майкл, который использует вымышленное имя для защиты своей личности. Но с годами цена биткоина начала расти. К 2024 году его кошелек стоил более 3 миллионов долларов США. «У меня есть это состояние, я его вижу, но не могу им воспользоваться, потому что у меня нет пароля», - говорит он. Единственный способ вернуть его - обратиться к легендарному хакеру Джо Гранду, известному как Кингпин. Гранд восстанавливал другие пароли с помощью трудоемких и сложных процессов и рассказывал о них в видеороликах на YouTube. Когда Майкл написал ему, Гранд посоветовал забыть о своем богатстве: «Всех возможных комбинаций в 100 триллионов раз больше, чем капель воды во всем мире. Это может быть капля, которая падает с неба, которая находится в реке или в любом океане мира. Единственное решение - сократить это непреодолимое количество до того, с чем мы можем преуспеть», - объясняет Гранд. И он отклонил просьбу Майкла, единственной надеждой которого было завещать кошелек своему сыну, чтобы в один прекрасный день более совершенные технологии смогли открыть его. Основная работа Гранда заключается в проведении занятий по взлому устройств в компаниях и организациях: «Я беру электронное устройство, анализирую его, выясняю, как оно работает, определяю основные компоненты, которые мы можем использовать, отслеживаю сигналы и ищу уязвимости», - объясняет он в ходе видеоконференции с El País. Кроме того, он занимается тем, что помогает таким людям, как Майкл, которые потеряли свои пароли или повредили цифровые устройства с помощью криптовалют. Он получает множество писем каждую неделю: «Это занимает значительную часть моего времени, я не ожидал такого количества сообщений», - говорит он. По его словам, два его недавних успеха - это восстановление кошелька человека, который выбросил его в озеро во Флориде, и ему пришлось нанять команду водолазов, чтобы достать его («Я до сих пор не знаю, почему он его выбросил»), и поиск пароля молодого человека, который на смертном одре сказал своему брату, что он думает, что пароль как-то связан с именем его бабушки. В подобных случаях, когда человек имеет представление о пароле, его можно перебирать, пробуя миллионы близких переменных одна за другой. Но совсем другое дело, когда их количество исчисляется триллионами. Майкл не сдавался, и Гранд в сотрудничестве с Бруно, молодым хакером, специализирующимся на программном обеспечении, обнаружил интригующую деталь в том, как менялись различные версии Roboform на протяжении многих лет. Для новой версии 2015 года компания написала новую функцию: «Повышенная случайность генерируемых паролей». Означало ли это, что раньше, например в 2013 году, когда Майкл создавал свой пароль, пароли действительно не были случайными? Тут-то они и начали прикидывать, как можно вернуть деньги: «Создавать случайные числа очень сложно. Если мы сможем манипулировать этой случайностью, то получим предсказуемый результат, который можно использовать для поиска пароля Майкла», - объясняет Гранд в видеоролике, посвященном этому делу, который набрал более 820 000 просмотров. Ранее им пришлось выяснить, как код Roboform генерирует пароли. Эта функция недоступна, и, чтобы найти ее, они даже использовали инструмент Агентства национальной безопасности США (знаменитого АНБ) под названием Hydra: «Это как русские матрешки. Цель - найти ту, что в центре, маленькую», - говорит Гранд. После многих часов, потраченных на то, чтобы понять, как Roboform генерирует пароли, они увидели, что могут создать один и тот же пароль дважды. Они обнаружили, что случайность зависит от времени: «Мы могли обмануть систему и вернуться в 2013 год, чтобы она генерировала пароли в тот промежуток времени, когда мы думали, что Майкл сгенерировал свой пароль», - говорит Гранд. Пароли, созданные Roboform, зависели от того, когда они были созданы: «Теперь началась настоящая игра», - добавляет Гранд. Однако перед этим Майкл должен был вспомнить примерный день в 2013 году, когда он сгенерировал пароль, и точные параметры (количество символов, строчные и прописные буквы, специальные клавиши). Но до этого, в действительности, Гранд и Бруно обнаружили огромную уязвимость в Roboform. Люди, которые использовали случайные пароли до 2015 года с Roboform, являются потенциальными жертвами: «Я впервые занимался подобным проектом. Я и раньше занимался реверс-инжинирингом, но воссоздать все возможные пароли, которые могли быть сгенерированы генератором, было чем-то новым, и я даже не знал, что это возможно. Кроме того, это крайне проблематично для всех, кто пользовался этим программным обеспечением», - говорит Гранд. Журнал Wired связался с компанией Roboform, которая не предоставила подробностей о том, как они устранили проблему. Они также не предупредили всех своих клиентов: «На мой взгляд, это более серьезная проблема, чем поиск пароля человека для возврата его биткоинов», - говорит Гранд. «Эти [ошибочные] пароли могут защитить банковские счета, медицинские карты, потому что это программное обеспечение, которое продается. Иногда производители очень благодарны и устраняют проблемы, но иногда они ведут себя так, как будто ничего не произошло. Вполне возможно, что будущие версии тоже будут уязвимы, только в несколько ином виде, потому что они так и не рассказали, как устранили проблему», - добавляет он. Можно предположить, что никто другой не посвятил бы столько часов решению такой проблемы, как Гранд и Бруно. Особенно, если у них будет стимул оставлять себе процент от биткоинов, которые они помогут вернуть. Но для Гранда это крайне маловероятно: «Если мы с Бруно обнаружили эту проблему, то я уверен, что кто-то другой тоже ее обнаружил. С юных лет, когда я участвовал в хакерских коллективах, я всегда говорил, что мы просто ребята, которые играют. Представьте себе, что если это государственное учреждение, противник или государство, то, скорее всего, они используют это в своих целях, это может быть даже правительство США», - говорит он. Но пока что Гранд и Бруно должны были помочь Майклу. Он дал им несколько дат весной 2013 года и несколько параметров: 20 цифр, строчные, прописные и специальные символы. Они попробовали миллионы паролей, созданных Roboform в этом окне, и они не сработали. Что-то было не так. Нервы сдали: «[Майкл] действовал нам на нервы», - говорит Гранд. «Но в конце концов его память оказалась неверной. Мы попробовали другой набор параметров, и он сработал», - добавляет он. Осенью 2023 года Майкл проводил несколько дней в Барселоне, и Гранд с Бруно отправились туда с огромным чеком, на котором было написано «1,6 миллиона долларов», потому что такова была стоимость его биткоина на тот момент. К тому времени, когда они выложили видео на YouTube в июне 2024 года, он удвоился. Видео на канале Гранда - это не только демонстрация его технических навыков: «Хакерство часто выглядит как волшебство, но на самом деле за ним стоит процесс. Если вы делаете правильные вещи, вы можете взять под контроль системы, и это то, что мне нравится. Мне нравится, что я могу поделиться этим с людьми, что они могут посмотреть на код и сказать: «О, вот и все! Просто передвигаешь некоторые вещи и запускаешь этот код, и все это происходит«». Хотя Гранд и зарабатывает деньги, он занимается этими проектами не для того, чтобы разбогатеть: «Это помогает моему хакерскому уму быть занятым и бодрым, и мне интересно работать над интересными проектами, потому что каждый случай немного отличается от другого. Сейчас я работаю над кошельком, который никогда раньше не видел, поэтому я изучаю его, понимаю, провожу эксперименты, а затем пытаюсь его взломать». Кроме того, в разработке находится еще один проект, очень интересный с точки зрения задач и головоломок, так что это важно», - говорит он. Несмотря на то, что Гранд ставит перед собой такую здоровую цель, у него есть и напутствие для индустрии: программное обеспечение не является непогрешимым, особенно в руках человека. У меня есть 935 паролей, некоторые из которых были созданы до 2015 года», - говорит он. «Если я не буду обновлять их, пока меня не заставят, что будут делать другие люди? Вот почему так важно, чтобы компании рассказывали о своих проблемах, когда они возникают». Успех Гранда в поиске таких паролей привел к тому, что он получил множество сообщений от людей, которые были обмануты. В таких случаях мало что можно сделать. «Я никогда не прошу денег заранее, потому что так работают мошенники», - говорит он. Одна из его проблем - сайты, которые выдают себя за него: «Сейчас наша главная цель - уничтожить сайт с моим именем и расширением „.es“, из Испании», - говорит он.