Ledger hackeada
comentada em 11/06/2018 10:04

eu e minhas 10 exchanges

[huhu]

Não tem dispositivo 100% seguro, né? A Trezor também já teve várias atualizações depois de descobrirem vulnerabilidades. Mas hardware wallets ainda fornecem o melhor equilíbrio entre segurança e comodidade pra usuários comuns. Pra quem não está disposto a pagar pra ter uma hardware wallet ou pra quem é power user e entende bem de segurança, as paper wallets são melhores.

Você pode criar uma carteira de papel e depois queimar o papel, Bastter. Só salvar a chave privada e o endereço em algum gerenciador de senhas =)

Na verdade foram 3 pessoas que descobriram a falha e avisaram a empresa algumas semanas antes. Eles corrigiram e disponibilizaram uma atualização de firmware. Falaram isso e agradeceram as 3 pessoas no twitter.

A falha em si é grave. O fato de precisar do acesso físico ao dispositivo minimiza o problema. O complicado é se ela for comprometida online ou em um computador comprometido.

A Ledger inclusive dizia que mesmo não sendo recomendado, o usuário poderia usar a nano em um computador comprometido que ela estaria segura.

Eu vi há alguns meses uma falha meio tosca do ledger, é tão simples que é meio besta, os endereços ficam em arquivos não encriptados facilmente editáveis

Ledger Receive Address Attack.pdf - DocDroid

Open the file:
C:\Users\%USERNAME%\AppData\Local\Google\Chrome\User
Data\Default\Extensions\%EXTENSION_ID%\%EXTENSION_VERSION%\src\wallet\wallet.js

Replace the line:
return (_ref = this.wallet.cache) != null ? _ref.get(this.getCurrentPublicAddressPath()) : void 0;

With:

return “MY_MALICIOUS_ADDRESS”;

The next time you receive funds, all the funds will be sent to MY_MALICIOUS_ADDRESS.

Seria isso ?

Man in the Middle Attack - Am I at risk? - Ledger

Aqui fala um pouco da forma de ataque e a prevenção:

Medium – Read, write and share stories that matter@thepariscormier/how-to-hack-a-ledger-hardware-wallet-c38a4ac49d59

O usuário deve verificar o endereço gerado na tela do nano.

só aproveitando o tópico, @oxe to meio por fora das hard wallets atualmente, um colega me perguntou sobre essa:
Amazon.com: KeepKey: the Simple Cryptocurrency Hardware Wallet: Computers & Accessories

tem algum senão? achei o preço baixo demais, mas nao tenho acompanhado.
será que tem outras com preço baixo? há novidades em termos de fabricantes nessa área?

só pra me atualizar mesmo, ultimamente só tá dando pra estudar stocks... [hehe]

@Sun135

Entrando pelo site oficial no link que eles fornecem para a compra, o preço sobe um tanto:

Amazon.com: KeepKey: the Simple Cryptocurrency Hardware Wallet: Computers & Accessories

Esse keepkey é meio que um "fork" do Trezor, que surgiu pra criar uma experiência mais premium. Hoje em dia, a empresa que faz o hardware foi comprada pela Shapeshift e a wallet permite conversão fácil e direta entre criptomoedas usando a Shapeshift.

Ela não tem suporte a muitas criptomoedas, no entanto. Só a BTC, LTC, DASH, ETH, BCH e DOGE. Eles têm planos de adicionar suporte a ERC-20 tokens, mas não achei nada sobre isso ainda.

Em termos de segurança, eu não pude confirmar que eles trabalhem com passphrase, como Ledger e Trezor, pra segregar as carteiras. Não pude confirmar quer dizer que eles podem trabalhar ou não, eu não sei. Eles têm no entanto um mecanismo de proteção contra keyloggers rastreando sua seed, embaralhando as letras.

Não achei muito mais coisas de nota na pesquisa que fiz, além do fato de que eles não permitem escolher a fee das transações, usam a estimativa que eles calculam para a taxa ótima da rede.

Em termos da estrutura física em si, ele parece mais durável, com base de alumínio, etc. Realmente parece mais premium nesse aspecto.

ok @oxe , vou passar pra ele as informações, obrigadão [ok]