Guten Tag Matej,
Haben Sie die Zeitleiste mit allen Bildern, E-Mails und der Korrespondenz erhalten, die ich privat an Tomas gesendet habe? Falls nicht, kann ich sie Ihnen weiterleiten. Die Zeitleiste in Kürze:
Gerät A (Desktop)
Gerät B (Telefon)
Gerät C (Tablet)
Gerät D (Telefon)
Gerät E (Laptop)
In der Nacht des Gewinns gehen wir davon aus, dass die oben genannten Geräte Zugriff hatten (da ich verschiedene Geräte verwendet habe). Am selben Tag
Als Gewinn wurden alle Geräte abgemeldet und eine Passwortänderung durchgeführt. Auf der
27., um die Sicherheit der Gelder zu gewährleisten, während ich das Auszahlungsverfahren startete ALLE Sitzungen
wurden abgemeldet, 27. Das Passwort wurde dann auf Gerät F geändert und 2FA
hinzugefügt. Zu diesem Zeitpunkt konnten die Geräte A, B, C, D und E nicht darauf zugreifen, da sie keine neuen
Passwörter eingegeben und alle Sitzungen abgemeldet nicht nur das, sondern 2FA war
dem Konto hinzugefügt, das NUR über Gerät F authentifiziert wurde. Abhebungen beginnen
erfolgt von Gerät F und Sie werden sehen, dass dies das einzige Gerät ist, auf das zugegriffen wird
(erneut mit 2FA).
Dann habe ich am 9./10. 2FA auf einem anderen Gerät eingerichtet Gerät G (iPhone und mein
einzige Gerät mit Zugriff) Gerät F abgemeldet wurde, hätte dies zu diesem
Zeit keine Sitzungen auf A,B,C,D,E,F keine aktuellen Passwörter eingegeben und außerdem 2
FA hat NUR gegenüber Gerät G authentifiziert.
Seitdem habe ich NUR Gerät G für den Zugriff auf die Website verwendet. Zu keinem Zeitpunkt haben Geräte
A,B,C,D,E,F haben sich angemeldet oder aktuelle Passwörter/2FA-Codes für einmaliges
Zugriff usw. So weiß ich, dass diese Sitzung ohne korrektes Passwort stattgefunden hat
eingegeben und keine 2FA, obwohl es auf dem Konto aktiv war!
Nachdem Sie sich beraten lassen, wie auch immer Sie es betrachten, wenn JEDES Gerät außer dem Gerät
G hat auf diese Site zugegriffen, unabhängig davon, ob sie zuvor verwendet wurde oder nicht – es handelt sich eindeutig um eine Sicherheitslücke.
Gemäß dem Eingeständnis von Nine Wins (als Antwort);
Zweitens sind wir völlig einverstanden, dass die Sitzungen geschlossen werden sollten, sobald der Benutzer
ändert das Passwort. Im Fall, den wir jetzt untersuchen, ist jedoch die potenziell
betrügerische Sitzung gestartet wurde, nachdem die 2FA auf Ihr Konto eingestellt wurde und nachdem die
Die Passwortänderung erfolgte am 27.07.2024 um 21:47:06 UTC + 0. Basierend auf diesen Fakten
Wir können feststellen, dass derjenige, der diese Sitzung gestartet hat, im Besitz Ihres Logins war
Anmeldeinformationen und korrekter 2FA-Code.
Sie bestätigen auch;
Bis zur nächsten aktiven Sitzung war 2FA eingerichtet und keine weiteren aktiven Sitzungen
autorisiert waren. Das lässt uns glauben, dass normalerweise 2FA hätte sein sollen
beim nächsten Login angefordert, da dies das Verfahren zur Behandlung der
Zulassung (die durch einen Test im Rahmen unserer internen
Untersuchung ).
---
Ich habe seitdem die Protokollauthentifizierung angefordert, da diese die verwendete Zugriffsmethode (Token, Passwort, 2FA) anzeigt, aber sie haben die Übermittlung abgelehnt;
„Diese Entscheidung ist endgültig und wir haben alle Beweise
dieser Tatsache. Zu unseren eigenen Sicherheitszwecken werden alle Unterlagen, Berichte und andere
Solche Informationen werden nicht weitergegeben, sie sind vertraulich."
Ninewin hat bestätigt, dass JEDES Gerät ohne Eingabe einer 2FA oder eines aktuellen Passworts auf die Website zugegriffen hat. Dies wäre eine Sicherheitslücke und die Website haftet für alle Verluste, die durch eine nicht autorisierte Sitzung entstehen. Die Beweislast liegt bei der Website, die den erfolgten Login nachweisen muss, der zum Verlust des Guthabens geführt hat. Da sie bestätigt, dass 2FA eingerichtet wurde und keine Sitzungen aktiv waren, muss sie nachweisen, dass 2FA verwendet wurde. Sie können dies mit Protokollprüfungen nachweisen – der Grund dafür ist, dass dann keine 2FA verwendet wurde. Das kann nicht sein. Schon die Formulierung „Das lässt uns glauben, dass normalerweise 2FA beim nächsten Login hätte angefordert werden müssen" „Glauben" / „Normalerweise". Das ist nicht richtig, sie tragen die Verantwortung, die Gelder zu schützen, insbesondere nach der Reduzierung der abhebbaren Beträge. Wenn 2FA auf dem Konto vorhanden ist (was war es) und sie sich weigern zu beweisen, dass es verwendet wurde (was nicht war), sagt das meiner Meinung nach alles.
Darüber hinaus – solange wir einen Vertreter haben, könnte ich ihn bitte bitten, mir die juristische Person mitzuteilen, die NineWin besitzt/betreibt, da er sich ebenfalls geweigert hat, mir diese Informationen mitzuteilen.
Grüße,
Good Afternoon Matej,
Have you received the timeline including all images / emails & correspondence I had sent privately to Tomas. If no I can forward to you. The time line in short;
Device A (Desktop)
Device B (Phone)
Device C (Tablet)
Device D (Phone)
Device E (Laptop)
On the night of the win let's assume the above devices had access (As I used different devices). The Same day
as the win, all devices were logged out of and a password change took place. On the
27th to ensure safety of funds while I started the withdrawal procedure ALL sessions
were logged out of , 27th the password was then changed on Device F and 2FA
added . At this point Device A,B,C,D,E couldn't access they didn't have new
passwords inputted and all sessions logged out not only this but 2FA had been
added to the account authenticated through ONLY Device F. Withdrawals start
taking place from device F and you will see this is the only device that is accessed
(again Using 2FA).
Then on the 9th/10th I set up 2FA on a different device device G (Iphone and my
only device with access) device F was logged out of , this would have meant at this
time no sessions on A,B,C,D,E,F no current passwords entered and furthermore 2
FA authenticated ONLY to device G.
Since then I have ONLY used device G to access the site. At no point have devices
A,B,C,D,E,F logged in or had up to date passwords / 2FA codes used for one off
access etc. This is how I know this session has taken place with no correct password
entered and no 2FA even though it was active on the account!
After seeking advice, whichever way you look at this if ANY device apart from device
G has accessed this site whether used before or not - it is a clear security flaw.
As per Nine Wins admission (In response) ;
Secondly, we totally agree that the sessions should be closed as soon as the user
changes the password. However, in the case we are investigating now the potentially
fraudulent session was started after the 2FA was set to your account and after the
password change occurred on 2024-07-27 21:47:06 UTC + 0 . Based on these facts
we can conduct that whoever started this session, was in possession of your login
credentials and correct 2fa code.
They also confirm ;
By the time of the next active session 2FA was set up and no other active sessions
were authorized. That makes us believe that normally 2fa should have been
requested during the next login, because this is the procedure of handling the
authorisation (which was confirmed by a test in the course of our internal
investigation).
---
I have since requested the log authentication as this will show the access method (Token, Password, 2FA) used but they refused to send;
"This decision is final and we have all proof
of this fact. For our own security purposes, any documentation, reports and other
such information will not be shared, it is confidential."
Nine win have confirmed ANY device has accessed without having to input a 2FA or current password then it would be a security flaw and the site liable for any loss as a result of an unauthorised session. The burden of proof is with the site to show the "log in" that took place and resulted in a loss of the balance as they confirm 2FA was set up and no sessions active they need to show 2FA was used , they can show this with log audits - the reason they are not is it will show no 2FA was used. It couldn't have been. Even the language used "That makes us believe that normally 2fa should have been requested during the next login" "Believe" / "Normally". Its not right , they have a responsibility to protect the funds , especially after reducing the amounts people can withdraw. If 2FA is on the account (witch it was) and they refuse to prove it was used (Witch it wasn't) that in my mind says it all.
Furthermore - while we have a representative please could I ask them to provide the legal entity that owns/operates NineWin as they have refused to provide me this information also.
Regards,
Automatische Übersetzung