Благодарю, а как это работает? У битка есть HD кошельки, а у эфира получается MyCrypto с леджером использует ту же технологию?
Если вы имеете в виду иерархию адресов, то да, все они происходят из родительского мастер-ключа. Во всех монетах, не только в битке с эфиром. Разница между битком и эфиром в том, что у битка (и других, основанных на UTXO монет) много адресов на одном аккаунте (приемные и сдачи), а у эфиров - один (адреса не меняются, и сдачи там нет как понятия). Я так понимаю, по крайней мере (в эфирах я слабо разбираюсь, интересуюсь только битком). |
|
|
|
но хочется понять сколько у меня адресов на леджере и почему ПО леджера показавает 1 кошелек, который я создал а MyCrypto дохрена? Они там в леджере решили, что одного нам достаточно ). А так адресов много, сколько угодно. Ledger Live, кстати, их тоже увидит, когда они будут с историей. |
|
|
|
Ну вектор через контроллер остается (и через само приложение по сути) Не знаю, я вектора не вижу. В новом леджере, кстати, такого чипа уже нет. поэтому новые (притом похожие на старые) вылазят каждый раз по новому Какие похожи на старые? Это как в Трезоре дамп приватного ключа - избежать нельзя, в само решение не брать секьюрного чипа заложен такой вектор. Разные вещи. И не дамп приватного ключа, а дамп сид-фразы, которая при использовании пассфразы ничего взломщику не даст. |
|
|
|
так уж и дороже? под офлайновый кошель не надо выдающихся характеристик. Согласен, но сколько стоит такой комп? Для справки - леджер можно купить за 40-50$ при желании. достаточно поставить чистую ось, хоть виндовс хоть линукс. выдающихся знаний тоже не протребуется. Я знаю много людей, не способных установить даже винду. Мне кажется вы все усложняете. А мне кажется, наоборот). Бесспорно, кошелек на офлайн-компе надежнее, при условии правильного использования. Но легче купить аппаратник, в большинстве случаев он обеспечивает достаточную надежность и, что для многих немаловажно, гораздо удобнее и проще. К тому же для некоторых монет не так уж просто будет сделать холодный кошелек. Как, например, сделать офлайн кошелек для XLM или KMD я пока не в курсе (наверное, как-то можно, но это надо искать, разбираться). |
|
|
|
зачем пользоваться этими глючными штуками? то и дело проскакивают сообщения об уязвимостях леджера и трезора А много знаете случаев потери крипты с этих глючных штук не по вине пользователя? не проще сделать отдельный офлайновый компьютер для кошельков? Конечно не проще. А многие просто не станут разбираться, как это сделать. К тому же отдельный комп надо покупать, который стоит дороже аппаратника. |
|
|
|
Полагаю Леджер уже это пофиксил? Конечно, все известные недостатки в безопасности фиксятся, хоть иногда не так быстро, как хотелось бы. К тому же и десктопный софт давно совсем другой, а старый не работает. Да, что-то вылазит временами, как без этого? )). Все фиксы безопасности можно посмотреть у них на сайте https://donjon.ledger.com/lsb/ |
|
|
|
Вот уже 3 года я занимаюсь криптовалютой, что только не делал и участвовал в эйрдропах, и торговал и делал всё что можно но ничего с этого не вышло, прибыли толком не было, так стоит ли оставатся в крипте?
Ровно три года назад биткоин стоил 2800, сейчас 9700, то есть выходит 250% прибыли. Для этого нужно было просто купить битков и держать, не тратя время, нервы и деньги на убыточную (для подавляющего большинства) торговлю. Или вы считаете такую доходность маленькой? |
|
|
|
I do use password for electrum.
Password and passphrase are different things. |
|
|
|
Если адрес сдачи определяется в STM32 (я думаю что именно так и просходит), то можно даже не гуглить - вполне возможный вектор атаки. Насколько я знаю, STM32 только обслуживает периферию (usb, кнопки, дисплей), всё основное происходит в ST31. |
|
|
|
В таком случае, очевидно, что единственный (скорее не единственный, но самый эффективный) способ обдурить Леджер, это отправить в секьюрный чип транзакцию, где будет указан адрес хакера. Такое провернуть вполне можно, даже притом сторонним софтом (например подключив Леджер к зараженному компу или фишинговому Ledger Live) и здесь защитит только внимательность. О чем вы говорите? Если о подмене адреса на десктопе, то леджер покажет на дисплее этот левый адрес, и пользователь отменит действие, это не называется "обдурить Леджер".
Еще слышал о варианте развода, когда подменяется адрес сдачи, и деньги уходят хакеру. Но мне кажется такое без инвазивного вмешательства в STM32 не провернуть. Завтра уже найду статью об этом, посмотрю что и как здесь.
Интересно, найдите. Надеюсь, это не та статья 17-го года, о которой я думаю ). |
|
|
|
You can also change the passphrase instead of the derivation path. I'd create a new wallet every year with same seed and new passphrase like "2020", "2021", etc. Doing so robs you of the ability to use a random and secure passphrase, an important feature providing additional security and plausible deniability, which everyone should be using on their main wallets. I would only suggest using passphrases to achieve additional wallets if you use a different random and secure passphrase each time. Passphrases like "2020" are utterly trivial to brute force. Most people don't use passphrases at all (I think OP one of them). And if a user used passphrase for example "456rty789uio", he can use "456rty789uio2020" instead. BTW, I don't agree that everyone should use a passphrase. Yes, it improves security and plausible deniability, but 12 words provide the necessary level of security, so that passphrase is optional. |
|
|
|
As to "some wallets don't allow to" change default derivation path - we speak of Electrum, right, and it is capable of that. Electrum has this feature for imported BIP39 seed only. I'm doing it right this way - constant SEED + different derivation paths. The latter is very easy to memorize - increase the last index by 1 and you are sitting pretty.
You can also change the passphrase instead of the derivation path. I'd create a new wallet every year with same seed and new passphrase like "2020", "2021", etc. What if those 2 addresses have 1000+ transactions in history, would it be affecting the loading again on new wallet?
What's stopping you from trying? It will take much less time than waiting for an answer. |
|
|
|
|
Я бы на вашем месте плюнул, достал в версии 0.13 ключи и импортировал в новую. Затем, возможно, перебросил все на новый адрес, чтобы отвязаться от импортированных.
|
|
|
|
Скажите, а какая обычно цена на пользованные аппаратные кошельки? Где-то от 35$. |
|
|
|
И как настроить эти мультиподписи? Тема достаточно обширная, в двух словах не расскажешь. И вам это не нужно, как я понял, поэтому не буду тратить свое время. Материалы на форуме есть, в том числе и на русском. Всё равно это НЕ надёжно...Так как хочешь-нехочешь, а 24 слова НЕ запомнишь в голове,
придётся записывать где-то и это есть та самая лазейка. Без комментариев )). А вот пароль от шифрованного тома можно придумать такой, что его не придётся нигде записывать, так что это аргумент.
Да ради бога, переубеждать больше не буду. |
|
|
|
что такое "в мультиподписи"? Мультиподписной кошелек. Транзакции подписываются несколькими ключами, одной подписи недостаточно. То есть даже если предположить, что производитель может подписать транзакцию ключами леджера, этого будет мало, нужно подписывать еще как минимум в одном кошельке, над которым у них нет контроля. -проблема в том, что нельзя выгрузить приватные ключи из этого Ledger Nano S, например для того, чтобы хранить дубли в зашифрованных томах, в этом вопрос. Получить ключи можно. Но не нужно, особенно для таких целей, как у вас. Эта возможность намеренно отсутствует в интерфейсе Ledger Live, чтобы неграмотные пользователи не компрометировали свои ключи. |
|
|
|
Кто-то тут писал, что производители аппаратных кошельков могут запросто подписать вашу транзакцию и без нажатия вами кнопок Для этого они должны оставить бэкдор в устройстве, что очень маловероятно. Лично я не доверяю, буду продавать свой девайс. Дело ваше. Кстати, если не доверяете, можно же и в мультиподписи леджер держать (я так и делаю для страховки). А так вы сознательно идете на ухудшение безопасности. Вы же переходите на горячий кошелек вместо условно-холодного Леджера, я правильно понял? |
|
|
|
Я бы всё-таки рекомендовал присмотреться к open source программе TrueCrypt это очень удобная штуковина, в которой можно создать зашифрованный том (файл любого размера) и в него записать все свои кошельки и приватники, запаролить том и на этом успокоиться, записав множество копий этого тома (файла) на всякие флешки, винты, даже в облако, не опасаясь, что кто-то получит доступ к файлу и сможет его вскрыть. Программа эта хорошо известна, как и ее наследница Veracrypt. Есть и куча других программ для стойкого шифрования файлов, это не проблема. Вы, очевидно, не понимаете, зачем нужен аппаратный кошелек. Если бы задача была только в хранении ключей, то можно было бы их хранить хоть записанными на бумаге, хоть в зашифрованном файле. Но аппаратный кошелек выполняет еще одну важную функцию - подписывание транзакции в безопасной среде, здесь вам трукрипт не поможет, тут нужно отдельное офлайн-устройство. А вот такая штука, как Ledger и ему подобные, действительно привлекают внимание, так что ну его нафиг - дразнить гусей и других людей. Никто же не заставляет его выставлять напоказ, о своем трукрипт-контейнере вы ведь тоже не будете кричать на каждом углу, не так ли? |
|
|
|
О чём, кстати, и говорит его фраза "вы что, ебанулись шортить экспоненту?" в конце туземуна битка. Практика показала, что экспоненту-то как раз и нужно было шортить. Вот этот пост: "Прогноз один, я его давал, он не изменился. Мы идём на 20к по трупам медведей. Вы долбанулись шортить такой тренд? Никогда не шортите экспоненту. Только когда она уже сдулась и прошли все признаки разворота и прошли отскок 62% Фибоначчи - тогда можно начинать (!) искать медвежью точку входа!" Этот пост был сделан 20 ноября 17-го при цене битка 8100. На тот момент этот его совет был очень неплохим, на мой взгляд. Может, его где-то и заносило (не помню уже), но я искренне не понимаю вашего возмущения именно этой репликой. |
|
|
|
|
Show Posts
