Из данной информации, кража зависит от 1) сессии угона и 2) скомпрометирована 2fa. Хотя это, безусловно, свидетельствует о зараженном устройстве пользователя, LocalBitcoins необходимо принимать более активные действия для подавления угона сессий.

Даже при включенном 2fa, запросы, которые исходят от пользователя с другого IP-адреса и браузер, чем то, что было записано в инициировании сессии должен быть дан ответ, немедленно уничтожая эту сессию и просит пользователя Reauthenticate. В данном конкретном случае, запрос на вывод был связан с IP-адресом и агента пользователя заголовка, которые были различимо отличается от той, которая была записана в начале сессии. В результате, запрос должен быть помечен как подозрительный и отрицал.

Конечно, такая политика не может быть в состоянии предотвратить кражи в данном конкретном случае. Если злоумышленник сможет получить не только-только разрешения на чтение, но и разрешения выполнения на устройстве пользователя, то злоумышленник мог бы послать запрос непосредственно с устройства пользователя, используя существующий сеанс, и запрос не будет появляться подозрительными к серверу , Если злоумышленник сможет получить доступ как пароль пользователя и 2fa код, то злоумышленник может просто создать новую сессию в любом месте, а затем отправить запрос на снятие.

Тем не менее, это вызывает тревогу, обнаружив, что безопасность управления сеансами в LocalBitcoins конечно не хватает. Принимая более активный подход к безопасности сеанса поможет подавлять атаки и укрепить доверие к платформе LocalBitcoins. Хороший технический обзор этой темы можно найти здесь: https://wblinks.com/notes/secure-session-management-tips/