//Update: I was wrong. It's working fine. For details please check https://github.com/steemit/steem/issues/244 .

--- Original Post ---
I noticed that with current client implementation the `ref_block_num` in transactions are usually far away from where it should be "recent", so usually little effect to prevent from replay attacks. for example
```
 get_block 3815965
...
"transactions": [
{"ref_block_num": 14875,...},
{"ref_block_num": 14876,...},
{"ref_block_num": 14875,...},
{"ref_block_num": 14693,...},
{"ref_block_num": 14864,...},
{"ref_block_num": 14874,...},
{"ref_block_num": 14874,...},
{"ref_block_num": 14876,...},
{"ref_block_num": 14875,...},
{"ref_block_num": 14874,...},
{"ref_block_num": 14472,...},
{"ref_block_num": 14876,...},
{"ref_block_num": 14876,...}
...
```
Will fire an issue to github.

Oh man, I am glad to be in safer hands on the steemit wallet than on any exchanges these days. Its dangerous times out there, I have suggested anyone and everyone to paper down on their wallets or go cold.

Fund recovery is definitely one of the weakest points of all cryptocurrencies. Let's hope that changes in the future with technologies like protocol-based account recovery.

@dantheman I really enjoy the level of insight and transparency you have given to Steemit.  While I agree that time is definitely a huge mitigating factor when it comes to security, so is peer review and allowing others to fiddle with the source to see exactly what they can and can not do with it.

You're definitely in new and unprecedented territory with this platform and from what I've seen in my week or so here you guys are on point.  When it comes down to it you managed to pull off a very impressive feat.  As soon as I heard about the Steemit hack I though, "Here we go again another dead cryptocoin" but you guys fixed it with a quickness.

You managed to merge crypto, social media, and all but reinvented the proverbial wheel. The speed with which you have solved major problems that would have stopped many projects dead in their tracks long before they came to fruition truly is something to be proud of.  Your hard work and the time you've put in to making this a platform built to last shows and I wish your project and team all the best in revolutionizing crypto-media as the new gold standard for social media platforms.

Kudos guys!

I'm going to bookmark this post because it gives really detailed infos about the technology behind Steemit, from a developer's standpoint. Thank you!

One thing that needs to be emphasized more I think, is the level of involvement you and everyone at Steemit Inc. is weighting in. You get down to everyone's level, read their posts/comments, respond to their posts/comments and inform the entire community directly through posts like this one. All on Steemit.com, the center of this ecosystem. 
#### Who else has that?
It is the cornerstone of Steem and Steemit. We don't need to convince anyone that Steem is bulletproof. Look at the charts. Steem has been affected but by the bubble created not directly by the events.
Keep on the awesome work and we'll rise to the moon!

In the future, I wonder if exchanges such as Kraken or Shapeshift will migrate to decentralized, blockchain-based exchanges so  that they will be harder to take down. For example, BitSquare, I have never really heard of BitSquare report funds stolen from attacks.

Due to decentralization and blockchain confirmations which combat the power of many systems attacking a centralized place.

From yesterday the situation of cryptocurrency may shift near to the edge of the cliff again. I do agreed all points that you mention, nice combination of old banking system and new blockchain tech.
But Steemit itself need more wide spreed and time to proof itself, since it still in beta and there may be a big loop hole that cause Steemit to collapse during development. Time will tell. 
As for social platform, I have to say that Steemit as of today still not attractive enough for the outsider. We may know that Steemit have such potential cause we love Steemit, so do I. But not  My experience introducing Steemit to my wife serveral days ago, she has no interest joining Steemit why? After she seen the trending she pick up some post she interest and her opinion is "How the hell these post get thousand dollars worth?". Note that at that time most trending post were Steem-releted, cryto-releted, and some posts about travel, you may guess which category that she pick up. 
Now I decided not suggest Steemit to my friends or family, only someone I see fit I may try suggest them cause Steemit not suit everyone not now. 
In my opinion, two major factors Steemit lacking in the eye of outsiders
1. Convenience
2. Diversity 

Anyway Keep up for good works, I know you can do it.
Cheer!!

Thanks for a really well written article! You covered a lot of ground, a lot of valuable information!

I am trying to find ways to add value to the Steemit community and I feel that @dantheman's message is important enough to translate into Spanish. Did you know that there are approximately 427 million people in the world who speak Spanish? This is a skill that I have that hopefully will be valued. I am open to constructive criticism of my translation as this is my first time translating content about cryptocurrencies. And in case you are wondering, I DID NOT JUST COPY THE TEXT INTO GOOGLE TRANSLATE. If that were the case, the quality of the translation would be much lower (in my biased opinion). Thanks.

Traducido con cariño por @bbrewer

Bitfinex, Hackeo de la Blockchain (cadena de bloques), y el Ataque de Reinyección, Dios Mío – Todas las Cosas que la Tecnología de Steem es Diseñada a Prevenir – Traducción del Artículo Escrito por @dantheman el 3 de Agosto 2016

Los meses mas recientes han estado llenos de lecciones dificiles para todos en el mundo de criptomonedas. Los errores en el código de la DAO (Organización Autónoma Descentralizada) resultaron en en la ejecución de los hard-forks (bifucaciones duras del codigo principal) de ETH, los cuales resultaron en ataques de replay (reinyección) y ahora una batalla entre los mercados de Ethereum y Ethereum Classsic.

En el proceso, el hacker de la DAO ha logrado hacer daño a todos, desde los que poseen ETH a cualquier persona haciendo transacciones con Coinbase, una de muchas víctimas potenciales del ataque de reinyección.

Y si los problemas con Ethereum no fueran suficientes, ahora hay noticias que $72 milliones de Bitcoin puede haber sido robado de Bitfinex.

Los hackeos también incluyeron a steemit.com. La diferencia es que Steem respondió de manera rápida, decisiva, y con soluciones tecnológicas duraderas en ves de soluciones temporales que no impiden problemas en el fúturo.

Todo Esto Se Puede Evitar

He estado trabajando por más de 3 años para diseñar tecnologías de blockchain de próxima generación. Steem es el producto de muchas lecciones dificiles de capacidad de utilización, escalabilidad y seguridad. La mayoría de las lecciones aprendidas no están disponibles en ninguna otra plataforma.

El Evitar Ataques de Reinyección

En Noviembre 2013, yo presenté el concepto de Transactions as Proof of Stake (transacciones como prueba de participación) también conocido como TaPoS.

La idea detrás de TaPoS es que cada ves que una transacción es firmada, debería incluir una referencia a una ID (identificación) de bloque reciente. Al hacer referencia a un ID de bloque reciente, el firmante también está certificando su opinión sobre el estado de la blockchain y la condición previa para la validez de la transacción.

Al largo plazo, esto significa que cada stake holder (tenedor de apuesta) está certificando directamente/creando controles en la blockchain y creando una medida de consenso que es aun más dificil de falsificar que reinventar toda la Proof of Work (prueba de trabajo) en bitcoin y “migrar” las transacciones.

El Evitar el Renacimiento de las Bifucaciones

El asumir que la blockchain nunca tendrá necesidad de una bifucacion dura es negar las realidad de las cosas. Habrán errores in el código y la necesidad de nuevas funciones y la falta de adaptabilidad de las condiciones del mercado eventualmente causarán el fin de cualquier compañía, producto, o criptomoneda.

La decisión de hacer una bifucacion dura debe estar integrada en el proceso de consenso antes que se ejecuta cualquier bifucación. Si se logra consenso que la bifucación debe de ser ejecutada, entonces todos los nodos que no tienen el código de la bifucación deben ser apagados por consenso.

En otras palabras, la unica manera de “revivir” una bifucación como Ethereum Classic sería implementar una verdadera bifucación y requerir que todos actualizan su código.

Ethereum Classic es un ejemplo de una bifucación que nunca debe haber existido. Si la blockchain de Ethereum tuviera un proceso integrado de consenso verdadero para decidir cuando hacer una bifucación y cuando debe dejar de existir entonces el mercado entero podría estar seguro que están en la bifucación correcta.

En lugar de esta seguridad, las decisiones sobre la adopción de una bifucación o la otra se efectuan fuera del consenso de la blockchain y como resultado estas decisiones son caóticas en su naturaleza. El fracaso en proveer una estructura de gobernancia resultará en caos en el mercado, incertidumbre y situaciones como Ethereum Classic.

El Recuperar de los Hackeos

El intentar a evitar los hackeos es un esfuerzo noble pero fútil. Los hackeos son instantes y permanentes. Aun con el uso de cuentas avanzadas de multi-firma, como los que supuestamente se utilizan en Bitfinex, no se puede evitar la pérdida de milliones de dolares de criptomonedas.

El problema es que no sabes que has sido víctima de un hackeo hasta que ya sea demasiado tarde para arreglarlo o recuperar. Los hackers pueden gradualmente acumular claves a través del tiempo y luego esperar hasta el momento perfecto para atacar.

La fuerza de un sistema no se debe medir por el la dificultad de penetrar la piel, sino por su capacidad de sanar rápidamente después de ser cortada. Bitcoin, Ethereum y la mayoría de las otras blockchains no tienen ningún sistema puesto para sanarse.

Cada cuenta de Steem está asociada con una cuenta de recuperación. La cuenta de recuperación puede ser cualquier otro usuario en el sistema que te conoce por algun modo que no sea tu clave pública. En el evento que su cuenta ha sido robada, la cuenta de recuperación combinada con su clave pública anterior tiene la función de restaurar la cuenta a su dueño legítimo.

Esto no se limita a multi-firma. Multi firma es un cojunto de firmantes quienes tienen que co-firmar una transacción. El proceso de recuperación de Steem considera cualquier clave utilizada en los últimos 30 días como una parte para ejecutar la recuperación. Un agresor puede cambiar las claves todo lo que quieran pero no puede evitar la recuperación de la cuenta.

Tu cuenta de recuperación no tiene ningún poder sobre tu cuenta sin una de tus claves recientes y no se necesita hasta que hayas sido víctima de un hackeo. Esto es muy diferente de cualquier solución de multi-firma que actualmente existe en el mercado.

Solo hay dos personas que pueden recuperar una cuenta, el agresor o el dueño legítimo. Con tal de que el agente de recuperación haya ejecutado KYC (conoce a tu cliente) antes de recuperar la cuenta, ningún hacker inentará a recuperar la cuenta. De hecho, no hay ningún motivo para el hacker de intentar a recuperar la cuenta porque ya tiene control de las “claves actuales” lo cual significa que se apodera de la cuenta por defecto después de 30 días.

Los Fondos Asegurados Con Tiempo

La clave para la seguridad es tiempo. Es imposible saber que tus claves han sido comprometidas hasta que otra persona haya firmado algo con ellas. Una vez que firman, es demasiado tarde.

Imagine si existiera una demora de 24 horas durante lo cual tu transferencia podría ser recuperada con la ayuda de tu agente de recuperación. Con tal sistema puesta un hacker tendría que divulgar el hackeo al usar tus claves, pero estará impotente para evitar la recuperación de tu cuenta o de cancelar la transferencia.

Si el hacker pudiera lograr comprometer tanto tu cuenta como la cuenta de tu agente de recuperación, entonces el agente de recuperación tendría que ir a su propio agente de recuperación primero y luego recuperarte a tí. Este proceso podría continuar indefinidamente hasta el punto que todos podrían recuperar su cuenta entre el tiempo permitido. La probabilidad de que un hacker comprometa todas estas cuentas al mismo tiempo es infinitamente pequeña.

Todas estas cosas requieren tiempo y la capacidad de cancelar. Sin la demora de tiempo los hackeos son imposibles de detectar hasta después de que sean irreversables. Los bancos han sabido esto por much tiempo. Implementan límites diarios de retiros, períodos para transacciones pendientes de 24 o 72 horas, etcétera.

La gran mayoría de la riqueza de criptomonedas se necesita asegurar con protecciones similares. Los únicos fondos que deben existier como “dinero en efectivo” son los que se necesitan inmediatamente y los cuales el dueño está dispuesto a perder.

Steem Resuelve estos Problemas

95% de todo el valor de Steem está sujeto a la seguridad de tiempo, todas las cuentas se pueden recuperar con tal de que tu tienes cualquier clave de dueño utilizada en los últimos 30 días y la firma de tu agente de recuperación . Todas las transacciones implementan TaPoS, lo cual evita reinyección, y la decisión de efectuar una bifucación dura está integrada en el protocolo de consenso. Cualquier nodo que no sabe los detalles de la bifucación dura se apagarán automaticamente en el momento definido por el consenso.

Si Bitcoin y Ethereum fueran a implementar estas funciones entonces Coinbase no estaría sufriendo de reinyección, Bitfinex podría recuperar sus fondos y no existiría ni Ethereum ni Ethereum Classic.

Estas funciones hacen que todos estén más seguro, y ¿no es eso el punto entero de criptomonedas en primer lugar? ¿De que sirve una criptomoneda que es estadísticamente menos segura que los fondos en tu banco? Es tiempo para un cambio.

This is a great and informative post. Much appreciated! How do we choose our security partner? Is this something that needs to be done prior to potentially getting hacked? Thanks for protecting us :-)

Of all crypto top caps, Steem is best in problem managing this summer. It's the most advanced blockchain. It would be very interesting to know @dantheman opinion about Casper simulation from https://twitter.com/VitalikButerin/status/760185856057638913

If blockchain.info hacked, it will be the doomsday of the Bitcoin.

I like the fact that you humble enough to say that a hack is inevitable and the true test is how you recover or at least I'm paraphrasing.  

It's getting really old having "security" as a primary marketing tool for various coin schemes, markets, etc when in reality we see massive security breaches on a regular basis.  Blockchain is the real deal, IMO, but until we can get the middleman (off blockchain exchanges, etc.) out of it, we have a real image problem.  Because truthfully you can park your money in a US bank and it will be safer in the current climate and I'm a Bitcoin enthusiast.

I read every word, and agree 100%

Steem Power is one of the safest places to be right now and it's time to invest some marketing effort into showing that. Too much effort goes into attracting bloggers and not enough to promote Steem Power. Now that Bitcoin is going down and probably will keep being suppressed by 100,000+ Bitcoins, it's only a matter of showing traders where the safe place is.

With all this mess around Ethereum people will lose again credibility in crypto . I was an Ethereum holder but with the latest news a big mess was created in my head and i didn't know what to believe. 

I sold all my ETH and i invested in Steemit because looks more promising. Even if also Steemit got hacked i was very surprised how @dantheman and the team acted.. not like the Ethereum guys which now nobody knows on which boat are..

Cool

Yes, it is time for a change!!! This is one of your best articles to date and I hope it goes viral.

Crypto currencies are assumed to offers us two things: independence and security. Both Etherum and Bitcoin would have been more steady and safe if they followed to execute the characteristics given above. Steem did it the correct way and for this reason I believe in the Steem technology.the steem technology has implemented it totally in a different way and has also created aawareness among users which is what making it raise in the crypto world