Elendig sikkerhedspraksis i den krakkede bitcoin-børs Mt. Gox

Som en af verdens største bitcoin-børser håndterede Mt. Gox i Tokyo bitcoins for milliarder af kroner, og udadtil så tjenesten fin ud. Men bag facaden var det en rodebutik uden lige med en direktør, som ikke påtog sig direktørrollen, men kastede sig over nye, sjove projekter i stedet.

Sådan lyder det - kort fortalt - fra tidligere ansatte eller konsulenter hos Mt. Gox, som i februar måtte lukke ned, efter at hackere i to år havde stjålet bitcoins for over to milliarder kroner fra tjenesten. Det skriver Wired.com.

Mt. Gox blev oprindeligt udviklet af amerikaneren Jed McCaleb, men han droppede projektet og solgte det i 2010 til den franske udvikler og iværksætter Mark Karpeles, der havde slået sig ned i Japan.

Softwaren bag Mt. Gox fik en overhaling af Mark Karpeles, og tjenesten fik hurtigt succes på det voksende marked for bitcoin-handel og -opbevaring. Et hackerangreb i 2011, som fik sitet offline i nogle dage, fik ikke tilliden til Mt. Gox til at forsvinde - men det afslørede, hvordan Mark Karpeles var underligt ligeglad med sikkerhedsproblemer.

Flere frivillige udviklerkræfter susede til Tokyo for at hjælpe Mark Karpeles med at få afværget hackerangrebet og knoklede i døgndrift, og de så måbende til, da direktøren for det hele valgte at holde fri hele weekenden. Da han dukkede op mandag, brugte han tiden på manuelt arbejde som at fylde kuverter i stedet for at koncentrere sig om at få Mt. Gox-tjenesten online.

Softwaren bag det hele blev også med tiden problematisk, for der blev ikke brugt versionsstyring, selvom der efterhånden var en del udviklere, som arbejdede på koden. Dermed risikerede man at overskrive hinandens arbejde. Det var kun Mark Karpeles selv, som kunne godkende kode til produktion, og det kunne tage uger - også når det gjaldt kritiske sikkerhedsopdateringer.

Et testmiljø kom først til umiddelbart før krakket, så indtil da blev kode brugt i produktion uden mulighed for at teste, hvordan det ville virke i sammenhængen.

»Kildekoden var ét stort rod,« lyder vurderingen fra en af dem, som Wired har talt med.

Mt. Gox som forretning blev i løbet af 2013 truet på flere måder, med sagsanlæg for 400 millioner kroner og 27 millioner kroner af firmaets penge indefrosset af de amerikanske myndigheder. Kunderne begyndte at flygte, og Mt. Gox gik hurtigt fra at være verdens største bitcoin-børs til at være nummer 3.

Imens koncentrerede Mark Karpeles sig om at indrette en cafe med bitcoin-betaling i stueetagen og at omprogrammere kasseapparatet, så det kunne modtage bitcoins. Ud over cafeprojektet gik hans tid med at ordne servere, sætte netværk op og andre it-support-opgaver, fortæller en insider.