Bitcoin Forum

Falha de segurança atinge a Ledger e protocolos DeFI entram em alerta: “Pare de usar dApps”, diz MetaMask
Ledger alertou os usuários para não se conectarem a nenhum dApps depois que uma versão maliciosa de seu Connect Kit foi identificada


https://portaldobitcoin.uol.com.br/cdn/image/wp-content/uploads/2023/09/Uma-pessoa-seguran-um-celular-que-mostra-figuras-grandes-e-vermelhas-em-formato-triangular-de-alerta-de-virus-800x430.jpg

mais informações e fonte da notícia:

https://bitcointalk.org/index.php?topic=5477887.0

https://blocktrends.com.br/ledger-tem-biblioteca-hackeada-e-codigo-malicioso-inserido/

https://portaldobitcoin.uol.com.br/falha-de-seguranca-atinge-a-ledger-e-protocolos-defi-entram-em-alerta-pare-de-usar-dapps-diz-metamask/


________________________________________________________________________


Denovo temos polêmicas e más notícias com a Ledger

Eu uso uma Ledger Nano X, apesar de não usar absolutamente nenhum dapp fico bem preocupado quanto a isso...

Poie é. Admirava tanto a Ledger HW1, lá nao tinha nada, era uma tela preta e volume em bitcoin, nada mais, simples. Porém, a ledger teve que crescer e tem mais de 5 mil criptomoedas, imagina gerenciar o backend disso, entao vive tendo update. Pra piorar ta cheio de scam nesses defis da vida, ai deu ruim né, local muito amplo pra sofrer ataque.

05 horas de drenagem, 500 mil dolares, falha da ledger.

os blocos Exploradore já deram red flag no endereco e a tether limited já deu congelamento nos fundos.

Atualizar a ledger agora urgente e nao mover fundos nas proximas 24 horas.

Exatamente, muito difícil gerenciar tudo isso, saiu do controle.

Uma forma é ter uma outra carteira pra fuçar com nessas "quebradeiras" de DeFi, nunca usar o "cofre" principal pra isso.

Mesmo sabendo o que está se fazendo o risco é alto justamente por conta de inúmeros scams, minha própria metamask tem um monte de shitcoins scam que enviaram pra mim do nada. Jamais vou interagir com qualquer uma delas.

É preciso muita cautela, pois esse ambiente é uma terra de ninguém.

Agora será que a Ledger vai se responsabilizar e ressarcir quem se ferrou por negligência dela? Difícil... vai ficar por isso mesmo e vida que segue. Enfim, sempre é bom ser extremamente desconfiado com tudo.

Precisa atualizar? pelo que vi não teve commit nenhum no Github deles.. a correção foi feita no arquivo externo que foi "sequestrado"..

Mesmo assim não uso o tal "Connect Kit", então acho que não muda nada para mim.


Ano que vem tem mais ::)

´

Que loucura
Ainda não consegui parar pra ler tudo e entender o que aconteceu, mas só foi afetado quem interagiu com algum DeFi com a ledger?

Minha Ledger até hoje eu só usei para gerar a seed e interagir com a Electrum e o aplicativo Ledger live

Explicação do caso:

- A Ledger Connect Kit é uma biblioteca em Javascript feita para facilitar a conexão de um dispositivo Ledger com sites dapps. Quando você entra em uma Uniswap da vida, um Aave, etc... e vai conectar a sua Ledger, utiliza-se dessa biblioteca.

- Conseguiram credenciais de dentro da Ledger para fazer o envio de código MALICIOSO para o codebase da biblioteca. Basicamente uma Uniswap da vida poderia estar rodando um Ledger Connect Kit alterada que solicita uma conexão e pede a confirmação de uma tx onde que você estaria enviando as suas moedas para um hacker.

- Essa vulnerabilidade em NADA afeta o hardware da Ledger em si. Você poderia ter usado sua Ledger com a Electrum para enviar 1 BTC e não teria corrido nenhum perigo, por exemplo.


Infelizmente algo similar já ocorreu com a carteira da Copay, onde um hacker fez engenharia social para conseguir o controle de uma biblioteca open-source que servia de base para outras (incluindo a Copay). Então ele fez o deploy de um update dessa biblioteca com um código escondido focado em roubar moedas de carteiras da Copay.: https://www.trendmicro.com/vinfo/au/security/news/cybercrime-and-digital-threats/hacker-infects-node-js-package-to-steal-from-bitcoin-wallets

Está a cada dia mais difícil em confiar numa carteira de criptomoedas que seja segura. Parece paranoia minha, mas a cada dia que passa, estou limitando cada vez mais minhas transações. Raramente ando a fazer algum trade, mesmo que seja uma boa oportunidade. Não sei onde isso vai parar.

Só notícias boas pro lado da Ledger, que bacana!

Eu também, felizmente não uso de dApps, pois também tenho uma Nano S bem antiguinha que tem capacidade para no máximo umas 3 carteiras distintas.
Estou cogitando comprar uma Trezor ano que vem, mas vendo na internet descobri que a quantidade Hardware-Wallets "diferentes" é gigantesca... opções tem aos montes mas fico com medo de ariscar em algo "novo". O que vocês me recomendariam?

De Ledger quero passar longe, apesar de ainda me sentir seguro usando ela só para o básico e associada com a Electrum (sem usar aquela porcaria de Ledger Live), a cada dia que passo perco mais minha confiança nessa empresa que um dia eu recomendava sem receio.

agora, a forte ironia do destino foi:
aparentemente o hacker trocou os 500-600k roubados por USDT
aí a tether foi lá e congelou os fundos

game over

o que foi bizarro é um dev sozinho com acesso à uma dependência específica conseguir afetar tantos dapps ao mesmo tempo... bem problemático e espero que gere uma nova onda de mudança para proteger frontends.

A internet é muitas vezes mais frágil do que imaginamos.

Lembra aquela imagem:

https://imgs.xkcd.com/comics/dependency.png

Nesse caso foi um ataque direto a lib da Ledger, mas a maior parte da internet usa bibliotecas open-source de um único dev e nem mesmo verificam o seu source code em caso de updates silenciosos. Um dev malicioso e... :P

Sabem o que eu acho piada no meio disto tudo?

Bem, sempre que entro num debate do Linux vs Windows, surge sempre a historia de: "o linux é open-source e todos podem verificar, onde milhares de utilizadores de todo o mundo, validam a informação e por isso é que é mais seguro, com menos erros, etc..."
Mas, depois surgem estas noticias que alguém usou uma biblioteca open-source que tinha um bug ou um dev era malicioso, e causo problemas a milhares de pessoas.
Então, mas ser open-source não é para minimizar esta situações, porque todos podem validar - e alegadamente há quem valide?

Enfim, eu não só contra o Linux, nem contra o open-source. Apenas, quero destacar, que todos os sistemas estão subjetivos a falhas, e se quem as identifica for malicioso, trará muitos problemas. Eu sei, que ser open-source, não significa segurança, não é isso que quero dizer. O que quero dizer, é que cada vez mais se confiam nessas bibliotecas, porque facilita o trabalho, e depois surgem problemas graves que dificilmente alguém irá ser responsabilizado.

Só espero, que estas falhas, sirvam para melhorar todo o ecossistema, e nem me refiro a Ledger, mas de um modo geral.

Essa parte da história não tinha visto ainda. Realmente uma grande ironia!
Mas se pensarmos, grande parte das grandes invenções foram realmente dadas por algumas poucas figuras proeminentes. Claro que depois vai tendo várias outras juntas suportando o desenvolvimento. Mas no geral é realmente uma pessoa fora da curva que bagunça tudo, faz coisas impensáveis e ousa. Acho que o caso dos devs assim.

Um dev bem focada e com motivações pessoais fortes > 100 devs de uma empresa mais ou menos com chefes que odeiam.

E é por isso que carteira fria é pra ser fria, depositar e sacar apenas.

A notícia é ruim, embora os riscos não sejam grandes para a absurda maioria dos usuários. E essa falha não afetou usuários de bitcoin que não tem dapps.

A Ledger está indo num mal caminho. As recentes histórias de compartilhamento de informações, seed indo pra nuvem nas novas versões, bugs desse tipo e coisas assim mostram que a empresa está se perdendo.

Estou de olho em opções de boas hardware wallets para substituir minha ledger no futuro... mas ainda deve ficar uns anos na minha mão a q eu tenho aqui.

Como uso só basicamente so pra bitcoin e evito usar a ledger live, acho q estou seguro :D

Somos dois. Eu tenho andado a ver carteiras que funcionam diretamente no Electrum, mas as opções não me tem chamado atenção.

Enfim, a minha Ledger é nova, não ligo ao Live, pois só uso para o Bitcoin e não preciso de instalar nenhuma dapp.

Eventualmente você irá precisar da Ledger live para atualizar o firmware, ou qd quiser instalar outros apps para usar outras moedas.

Mas não precisa ser sempre, e vc não precisa adicionar todas as suas accounts na ledger live.

Não uso outras moedas...  ::)
Atualizar o firmware, talvez, mas precisa de haver um motivo muito forte para o fazer.

A última atualização do meu foi em 2021, para suporte ao taproot
https://support.ledger.com/hc/en-us/articles/7103926130845-Latest-Firmware-updates-for-Ledger-Nano-S-X-and-S-plus?support=true

O meu tem a atualização anterior a ultima que dá suporte ao serviço de recuperação. Por isso, muito provavelmente não irei fazer mais nenhum update.

Nao è paranoia, è perigo mesmo.

Esta sendo quase mais seguro e fácil fazer um cold Storage apropriado sem hw Wallet. Esses aparelhos nasceram para agilizar a segurança mas pelo visto nao estão 100% conseguindo com tanta função extra.

O problema é que quanto mais funcionalidades, mais riscos tem, então a cada APP ou moeda nova, mais risco você está correndo, esse erro mesmo só afetou quem estava conectado a certos DAPPS. Você tem altas chances de estar seguro apenas usando a carteira como um cofre, se precisar de mais funcionalidades, instale um metamask e faça as coisas a partir dali.

Sem duvida. Hoje em dia quer-se adicionar funções mais funções, quase se quer reinventar a roda. 
Façam as coisas simples e especificas para um proposito. Torna tudo mais simples, e é mais fácil de reduzir problemas.

Não poderia discordar mais (com o alex). Acho que vocês tem sido muito exagerados com essa ideia de "menos é mais" que eu sempre vejo vocês falando por aqui.

Para ter um cold storage próprio você tem que ter um dispositivo isolado exclusivo para fazer a assinatura das transações. Fora o fato dele continuar sendo bem mais propicio a malware do que uma HW como a Ledger ou Trezor, você tem que fazer esse bate volta inumeras vezes entre um dispositivo e outro: tx não assinada no PC online > manda para o PC offline -> assina -> manda para o PC online -> broadcast. Tudo isso envolve muito mais tempo do que quando se usa uma HW, onde você recebe o pedido de confirmação na hora, no dispositivo, e assina no mesmo instante.

E outra coisa, usar uma cold storage própria NÃO teria corrigido o problema do supply chain no dapp. Todo mundo que caiu nessa falha ainda teve que assinar a transação no seu HW, mas a complexidade da Ethereum fez com que as pessoas não soubessem os dados que estavam sendo assinados. Se o cara recebeu essa tx do site da Uniswap e foi lá assinar em seu PC cold-storage próprio, provavelmente teria aceitado de qualquer maneira.

Por isso sempre defendo um visor nas novas HWs que são lançadas, pois você TEM que verificar o que está assinando antes de realmente assinar. Com o Bitcoin isso é ZERO problema, já que o pedido é simples e sempre vai aparecer no visor: "envio de X BTC para endereço Y". Se a informação não bate, é só não assinar.

Isso chega a ser assustador, nao usei DAPPS diretamente, mas pelo jeito que voce descreveu parece um começo de inúmeros problemas.

Claro, um cold storage è ainda bem longe de ser pratico.

Obviamente que não!
Quem trabalha com desenvolvimento sabe como é fácil atualizar as bibliotecas de dependências do projeto e o quão "chato" seria conferir as mudanças no código dela.
Por mais que os devs geralmente mexem em pouca coisa entre as atualizações e a própria ferramenta de comparação do git ajude nesse trabalho, eu acho que praticamente ninguém faz isso.

Mesmo quando fazem, muitas vezes programas críticos já atualizaram suas bibliotecas de dependências antes mesmo que algum DEV ligado fosse lá conferir e descobrir o problema. Nesse momento o estrago já foi feito, principalmente quando falamos de criptomoedas em que o caminho do dinheiro muitas vezes não tem volta.

Mas, fico feliz (eu acho) em saber que novamente os hackers tiveram a infelicidade de mover os fundos para uma blockchain centralizada que logo "cortou o barato". Só não entendi a burrice do dev em fazer isso, seja pelo fato de ter movido isso pra Ledger como também de ter feito isso em um momento que o Bitcoin está em disparada.

O problema é que uma transação de swap na Uniswap consiste de muitas informações. Imagine algo assim:

- Interação com o endereço 0x12345.... (contrato da Uniswap)
- Envio de 0 ETH
- Dados da transação:
-- chamando função swap()
-- parametros:
---- token de entrada: 0x555... (endereço da USDT)
---- token de saída: 0x884... (endereço da USDC)
---- valor: 100000000 (que converte em 100 unidades)

Aí a maioria das HWs não consegue detectar ou mostrar tudo isso no visor. Felizmente isso tem mudado e algumas HWs já detectam funções especificas e seus parametros.

Com o Bitcoin é simplesmente:

- Envio de X BTC
- Recipiente: 1Abcd...

Não tem erro... ;D

Na verdade se você utilizar dApps berm consolidados como a uniswap (acho q o maior dapp que tem) você não terá problemas.

Esse cara foi pego usando um app mais desconhecido.

Ele ainda foi vitima de um phising

Aqui tem uma carta oficial sobre o caso

https://www.ledger.com/blog/a-letter-from-ledger-chairman-ceo-pascal-gauthier-regarding-ledger-connect-kit-exploit

Depois dessa falha e tambem depois do hack dos dados no ecommerce deles, nao sei como a Ledger continua conseguindo existir...

Acho essa afirmação exagerada.

Eles tem problemas com o trato dos dados dos usuários. Não respeitam a privacidade e os novos dispositivo tem essa questão de enviar seeds online , o que é bem ruim.

Mas os modelos antigos como o meu não tem esse lance de seed online.

Essa falha de segurança é muito especifica e não afetou quem possui bitcoins (por exemplo)

Isso não quer dizer que a ledger agora é inútil e os dispositivos são um lixo.


No final, a ledger é um dispositivo seguro, mas que tem alguns problemas. Já foi o melhor do mercado, mas não é mais.

Meus bitcoins estão seguros na ledger. No entanto , na próxima oportunidade vou procurar outra HW.

Mas, quando eu falo em simplificar é isto! Não o facto de ir a uma wallet HW clicar no botão/validar.
O HW existe para isso mesmo, segundo elemento de validação.

Os endereços do Bitcoin, mas em especial do ETH e de outras moedas, já são grandes o suficiente e complicados de leitura/memorização humana, para os sistemas ainda complicar mais.
É esse elemento que tem de ser simplificado, de modo a ser mais fácil para o utilizador perceber que passos está a dar e o que esta envolvido.

Ser simples, não significa que é menos seguro ou que algo é menos complexo.
Eu falo da simplicidade, no sentido em ter algo complexo e seguro, mas simples na utilização - em especial para quem não tem grandes níveis técnicos.

Se para quem anda nisto todos os dias, sofre com esta "complexidade" e cai nestes esquemas, imaginam quando mais pessoas menos conhecimentos técnicos entrar neste mercado.

Fazer isso é fácil? Não digo que seja...

Eu tive conhecidos que entraram no leak do ecommerce, garanto que nao foi nada bom (me contaram que receberam muito phishing articulado). Eu entendo que nao sao lixo, mas fizeram erros muitos pesados pra ser produtores de hw wallet.

Também tive amigos que receberam e-mails estranhos depois da invasão do Banco de Dados da Ledger. Como moravam no Brasil, não deram muita importância para os tais e-mails recebidos. Muitos eram escritos em outra língua. Não sei se era Russo ou Ucraniano. Parece que eram escritos naquele alfabeto cirílico.

Eu recebo muito phising tb...
Nunca clico em nada
Esse meu e-mail do forum  é um mar  de spam. Raramente vem email legit

Ultimamente tenho recebido todo tipo de tentativa de fraude. Recebo tentativa de Phising, recebo tentativa de Spotting, recebo tentativa de fraude com sms, dentre outras que fogem da minha memoria agora. É que sou bem desconfiado e não coloco meus dados verdadeiros em nenhum lugar. Senha verdadeira somente em sites que sejam muito confiáveis. Tenho uma desconfiança que meus dados já vazaram há um bom tempo na web.

Quando se anda a muitos anos neste mundo web, já passamos por muita coisa e muitas fases. Então, basicamente fica complicado manter todos esses dados "confidenciais". Ou "vazado" por nós em algum momento que não cuidávamos tanto da privacidade, ou por alguma empresa terceira que tinham os nossos dados e muitos anos e já nem nos lembramos, acaba por já andarem por ai.

Só resta duas coisas, o tenta-se começar do zero - o que pode ser um pouco complicado. Ou tem-se muito cuidado e sabe-se lidar com essas situações que surgem, e ter mais atenção a novos dados usados. Acho que a segunda opção continua a ser melhor.

_{Era muito difícil fazer uma nova conta joker_josue v2.}  ::)

Você deu uma volta inteira para dizer que também não compra mais Ledger :D as vendas devem ter caído bastante já.

Claro que as carteiras são boas.. o problema é a empresa guardar (e vazar) os dados dos clientes, lançar um produto com uma abordagem péssima e agora esse lance do código malicioso..

Você diz que seus bitcoins estão seguros, mas depois de tanta trapalhada é difícil ficar tranquilo.. ontem o alvo foram pessoa que usam DeFi, amanhã pode ser qualquer investidores de BTC.

Os caras se queimaram bastante com todas essas coisas, vão perder mercado.

Porém até agora nao houve falha para que uma Ledger conectada no seu PC seja invadida, tenha as keys roubadas, force uma assinatura, etc... a única coisa que importa pra mim é isso.

Essa do DeFi a vulnerabilidade foi na biblioteca intermediaria que conecta e "constroi" as transações. A do ecommerce foi um parceiro que cuidava do marketing.

Até então não tive nenhum motivo para não comprar uma Ledger no futuro. :P

Considero que a forma como a ledger faz seu marketing vai ser o suficiente para manter as vendas delas. Hoje eles patrocinam grande parte dos influencers cripto e sinto que quase que inconscientemente a grande parte de novos entrantes no mercado são levados a adquirir uma ledger. Não estou dizendo aqui que comprar ou usar uma é bom ou ruim, mas considero que a estratégia de direcionamento de marketing deles é muito boa.

uau
nunca tinha visto e achei sensacional haha, obrigado por compartilhar
lembra onde viu essa pela primeira vez?


isso me fez pensar quem veio primeiro, a ledger ou a trezor, então fui perguntar pro gpt:

---

típico pensamento de quem não usa nem entende dapps  ;)


uma alternativa simples de implementar apesar de dar um trabalhinho dependendo do nível que vc quiser fazer é usar o framework do 6529 (postado no twitter)
usa uma carteira para itneragir com dapps e outra separada como vault (pode ser multisig ou não) que nunca conecta em nenhum dapp.

o comentário do Ninja é bom, se alguém quiser conferir o sistema do 6529 que comentei tá aqui:
https://twitter.com/punk6529/status/1604486523772178435

e tem mais aqui:
https://twitter.com/punk6529/status/1677019020002770944
https://twitter.com/tropoFarmer/status/1547330303642968064


pq ainda tem pouca concorrência em termos de opções no mercado

---

aqui também mas ainda tenho que fazer o filtro entre o que é golpe e o que é legitimo, de repente 2024 é o ano de mudar as coisas importantes pra outro email pq tá brabo...

Basicamente eles sao a binance dos hardware wallets  ;D

Mesmo assim, continuo achando a Trezor "menos ruim" do que a Ledger. Se eu não tivesse uma hardwallet e estive para comprar, certamente compraria o modelo novo da Trezor. Eles acabaram de lançar a Trezor Safe 3 por 79 doletas, diretamente da fábrica. Parece ser interessante. Uma One aperfeiçoada.  :o :o

Sim, a terzor realmente da mais confiança. O histórico da satoshilab comparado com o da Ledger è praticamente limpo. E eu lembro que ja fizeram muita tentativa de hack da trezor, o que deu certo no momento foi so ataque fisico do dispositivo sem passphrase.

Com certeza. A Trezor é de maior confiança. Talvez não venda tanto por causa dela não investir tanto em marketing como a Ledger investe. Tem também o fator dela ser produzida na Republica Tcheca e a Ledger ser fabricada na França. Acredito que isso também seja um fator que influencia nas vendas e na aceitação do produto.

O @sabotag3x criou/traduziu um topico com uma lista de hardware wallets existentes no mercado (a ultima atualização do topico foi em julho/2023)
Se caso quiser dar uma olhada - [LISTA] Carteiras de hardware (https://bitcointalk.org/index.php?topic=5310331.0)

Eu também estou pensando em comprar uma Trezor em breve
@alegotardo, não sei se você viu, mas a KriptoBR esta com uma promoção da Trezor One... confesso que até que esta com um preço aceitavel, R$ 447,00 (pagamento em cripto) - https://kriptobr.com/produto/trezorone/ (https://kriptobr.com/produto/trezorone/)

Dei uma vasculhada sobre a Trezor na internet em alguns sites brasileiros, e a maioria estão beirando os R$ 600,00 pra cima  :-\

Mudando um pouco de assunto...
As vezes fico impressionado com a inflação brasileira, no topico que o sabotag3x traduziu há menos de 3 anos atrás a Ledger Nano X estava ~ R$ 785,00 e hoje fui pesquisar e ela esta custando R$ 1.500,00 em alguns sites "mais conservadores"  :-\ :-\


obs: não vou negar, mas gostei do seu senso de humor e ironia kkk :P ::) ;D

Eu tenho de reanalisar essa lista.
Pois a escolher uma HW tem de ser uma que funcione no Electrum Wallet.

Em geral todas funcionam (não conheço nenhuma que não funcione, mas é sempre bom pesquisar pra ter certeza).

mas pessoalmente, eu evitaria inventar moda.
Trezor ou coldcard.

Eu tenho uma ledger Nano S (a antiga que nao envia a seed).
 Sei que nao é a melhor, mas não vejo motivo para trocar, por hora.

Edit: As vezes uma  HW nova que ngm conhece é dor de cabeçca também.
Olha meu relato da Razor. Foi super complexo iniciar ela... nunca coloquei moedas nela, ta aqui parada..
Ganhei do fornecedor para fazer um review e ficou aqui encostada. Zerada.
https://bitcointalk.org/index.php?topic=5259327.0

Por acaso, tenho ouvido falar bem da SafePal S1, que até achei interessante. Mas, alegadamente ela não funciona na Electrum.
Tem a Jade, que falam também bem dela. Essa funciona, mas não sei se quero alimentar o "poder" da Blockstream.

Para já, sigo com a mesma postura, a Ledger Nano, funciona para o que quero sem motivos para troca.

Não sabia que a SafePal não oferecia uma "compatibilidade" com a Electrum, fiquei surpreso com isso...
Eu acho a Jade bem diferenciada e tem de fato uma galera que fala bem dela, acho interessante dela que ela é uma wallet air-gapped, é uma feature interessante nos dias de hoje... sem falar que ela oferece suporte para a Liquid Network

E eu tambem compartilho do mesmo pensamento, a minha Nano ainda esta "quebrando um galho" e nunca me deixou na mão, no atual momento não, mas futuramente eu não vejo motivo para não comprar uma outra hardware wallet, lógico, se eu tiver uma graninha sobrando e também conseguir achar uma boa promoção rsrs