Аппаратные кошельки

[delfastTions]

Кто лучший на рынке и почему? Про какой конкретно аппаратный кошелек вы пишите?

Подозреваю, что про тот аппаратник что в первом посте. Один из самых пропиаренных кошельков, который поддерживает тысячи шитков и меняет модели чуть ли не чаще, чем производители яблокофонов. Но все равно он довольно привлекателен по соотношению цена-качество, так что интерес новичков конкретно к Леджеру вполне понятен. И во вторых, лучше уж такой аппаратник, чем вообще никакого. Но что действительно привлекает, это не сам кошелек, а команда в компании Леджер, которая занимается вопросами безопасности. У https://donjon.ledger.com/ есть много интересных исследований, они тратят миллионы на попытки взлома аппаратных кошельков и помогают многим производителям в усовершенствовании их продукта. Без них бы экосистема аппаратнвх кошельков была бы менее защищенной, так что это большой плюс в том чтотони активно работают.

Однако у команды Леджера  есть и серьезные косяки в безопасности. Несмотря на эти милльоны баксов.

Чего стоит одна утечка данных почти миллиона покупателей за 2018-2019 годы. Я смотрел этот список. Там  все данные покупателей, адрес  телефон.
Если где то в дикой Колумбии-Никарагуа, так просто  четкая наводка для местных бандосов.

Кроме того конечно неудобно юзать, если у вас много разной крипты. Все время надо перезакачивать приложения. Памяти мало, в нано s  так точно не хватает.

А так во всем  остальном то норм.

[1714607238]

1714607238

[1714607238]

1714607238

[1714607238]

1714607238

[1714607238]

1714607238

[witcher_sense]

Однако у команды Леджера  есть и серьезные косяки в безопасности. Несмотря на эти милльоны баксов.

Чего стоит одна утечка данных почти миллиона покупателей за 2018-2019 годы. Я смотрел этот список. Там  все данные покупателей, адрес  телефон.
Если где то в дикой Колумбии-Никарагуа, так просто  четкая наводка для местных бандосов.

Кроме того конечно неудобно юзать, если у вас много разной крипты. Все время надо перезакачивать приложения. Памяти мало, в нано s  так точно не хватает.

А так во всем  остальном то норм.

Всегда хотел приобрести леджер, привлекала его низкая цена и довольно высокое качество. Но этот слив данных перечеркнул это желание, так как мое мыло оказалось среди слитых (я был подписан на рассылку) и стало приходить настолько много спама, угроз, левых аирдропов и фишинговых писем, что желание резко пропало и отношение к компании испортилось сразу же. Но тем не менее на безопасность кошельков это никак не повлияло и не отразилось на общем количестве пользователей, желающих приобрести продукцию этой компании. Кошелек безопасен, это факт, но минусы все равно есть. Вместо прддеожки старой продукции, они выпускают новую чуть ли не каждый год и уязвимости в одной из новых моделей это лишь вопрос времени. А так да, пока существуют альткоины будет спрос и на аппаратные кошельки Леджер.

[igor72]

Кошелек безопасен, это факт

Доказанный факт? Или факт потому, что не доказано обратное? Я бы любой кошелек с закрытым кодом относил к небезопасным.

Вместо прддеожки старой продукции, они выпускают новую чуть ли не каждый год и уязвимости в одной из новых моделей это лишь вопрос времени.

Каждые три года точнее (nano s - 2016, nano x - 2019, nano s+ - 2022). Да и последние два, я думаю, по софту мало чем отличаются от первого, вряд ли там появятся новые уязвимости. По этому поводу я бы не переживал.

[igorkryukov9393]

Какой аппаратный кошелёк самый опенсорсный ?

[igor72]

Какой аппаратный кошелёк самый опенсорсный ?

Trezor, наверное.
Тут список: https://bitcointalk.org/index.php?topic=5288971.0
Или тут еще можно глянуть: https://walletscrutiny.com/?platform=hardware

[bakasabo]

Если вдруг Ваш выбор остановился на кошельке Trezor, то сейчас действует 15% скидка на покупку моделей Trezor One или Model T. Данная акция продлится до 8 ноября.

Если же Вы еще не определились или Вам не к спеху покупка аппаратного кошелька, то советую подождать конца ноября. Зачастую на черную пятницу (Black Friday - пройдет 25 ноября в этом году) производители предоставляют скидки на покупку кошельков.

[witcher_sense]

Доказанный факт? Или факт потому, что не доказано обратное? Я бы любой кошелек с закрытым кодом относил к небезопасным.

А что есть доказанный факт с точки зрения нахождения дыр в безопасности? Уязвимости найти пытаются постоянно, тратят на это тысячи и миллионы долларов и пока безуспешно. Это безопасно насколько возможно и это факт. Но это не значит, что взломать его совсем нельзя.

Каждые три года точнее (nano s - 2016, nano x - 2019, nano s+ - 2022). Да и последние два, я думаю, по софту мало чем отличаются от первого, вряд ли там появятся новые уязвимости. По этому поводу я бы не переживал.

Для чего на аппаратные постоянно выпускают прошивку в таком случае? Если баги не фиксяться, то в один прекрасный момент могут появится через неосторожное обновление прошивки. А если баги найдут, то старыми версиями кошельков пользоваться будет невозможно.

[igor72]

А что есть доказанный факт с точки зрения нахождения дыр в безопасности?

Открытые и проверенные сообществом исходники для меня являются основанием считать кошелек безопасным (в плане дыр).

Уязвимости найти пытаются постоянно, тратят на это тысячи и миллионы долларов и пока безуспешно.

Что они там делают и на что тратят деньги на самом деле, нам достоверно неизвестно. Ищут уязвимости у конкурентов и выкладывают их на своем сайте, это мы видим. В то же время мы сталкиваемся с периодическими багами в леджер лайв и нестабильной работой нод некоторых монет. Может, и с прошивкой там не все так безопасно, как утверждают, кто знает?

Это безопасно насколько возможно и это факт.

Это безопасно настолько, насколько они захотели или смогли, не больше.

Для чего на аппаратные постоянно выпускают прошивку в таком случае? Если баги не фиксяться, то в один прекрасный момент могут появится через неосторожное обновление прошивки. А если баги найдут, то старыми версиями кошельков пользоваться будет невозможно.

Не совсем понял вашу мысль. Я говорю, что новые версии леджеров принципиально мало отличаются от старой, поэтому вероятность новой уязвимости ненамного выше, чем в старой нано с.

[witcher_sense]

Открытые и проверенные сообществом исходники для меня являются основанием считать кошелек безопасным (в плане дыр).

По моим постам будет видно, что я всегда бвл против проприетарного ПО и давно перешел на Линукс. То же самое касается и аппаратников и софтверных кошельков. Так что не защищаю Леджер в этом плане.

Что они там делают и на что тратят деньги на самом деле, нам достоверно неизвестно. Ищут уязвимости у конкурентов и выкладывают их на своем сайте, это мы видим. В то же время мы сталкиваемся с периодическими багами в леджер лайв и нестабильной работой нод некоторых монет. Может, и с прошивкой там не все так безопасно, как утверждают, кто знает?

Чем больше поддержки для шитков они добавляют, тем больше багов имеется на выходе. Это расплата за погоню за прибылью.

Это безопасно настолько, насколько они захотели или смогли, не больше.

Это значит уязвимости они добавляют намеренно? Все люди ошибаются и никто не сможет написать идеальный код.

Не совсем понял вашу мысль. Я говорю, что новые версии леджеров принципиально мало отличаются от старой, поэтому вероятность новой уязвимости ненамного выше, чем в старой нано с.

Аналогия с айфонами здесь тоже уместна?

[igor72]

Это безопасно настолько, насколько они захотели или смогли, не больше.

Это значит уязвимости они добавляют намеренно?

Мне в это не верится, хотя исключать бэкдор в прошивке у меня тоже оснований нет.

Все люди ошибаются и никто не сможет написать идеальный код.

Может быть. Но за пять лет наблюдения за леджеровцами у меня сложилось впечатление, что там программисты, скажем так, не самого высокого уровня, могли бы быть и лучше при таком бюджете.

Не совсем понял вашу мысль. Я говорю, что новые версии леджеров принципиально мало отличаются от старой, поэтому вероятность новой уязвимости ненамного выше, чем в старой нано с.

Аналогия с айфонами здесь тоже уместна?

Не слежу за айфонами, но думаю, что нет, все-таки слишком разные устройства по сложности - в леджере прошивка-операционка весит около 150 килобайт, в смартфонах на порядки больше.

[satscraper]

Может быть. Но за пять лет наблюдения за леджеровцами у меня сложилось впечатление, что там программисты, скажем так, не самого высокого уровня, могли бы быть и лучше при таком бюджете.

Как можно судить об уровне програмистов не имея доступа к разрабатываемым кодам?

Хороший обзор по основным имеющимся аппаратным кошелькам. Может кому-то пригодится.

[igor72]

Как можно судить об уровне програмистов не имея доступа к разрабатываемым кодам?

Разве нельзя судить о мастерстве повара по блюдам на столе? За 5 лет несколько раз сам сталкивался с глюками прошивки и Ledger Live и видел много жалоб на реддите. Еще вспоминается, как уязвимость (именно уязвимость), найденную в конце 17-го года, они исправляли 4 месяца. По-моему, это очень долго. Справедливости ради нужно сказать, что последние две-три прошивки Nano S у меня работают хорошо (да и у народа вроде бы). Но Ledger Live пока еще не безупречен. И с серверами у них периодически проблемы - недавно не мог отправить XLM, пришлось подключаться к стороннему сервису (благо, он есть в данном случае).

[satscraper]

Как можно судить об уровне програмистов не имея доступа к разрабатываемым кодам?

Разве нельзя судить о мастерстве повара по блюдам на столе? За 5 лет несколько раз сам сталкивался с глюками прошивки и Ledger Live и видел много жалоб на реддите. Еще вспоминается, как уязвимость (именно уязвимость), найденную в конце 17-го года, они исправляли 4 месяца. По-моему, это очень долго. Справедливости ради нужно сказать, что последние две-три прошивки Nano S у меня работают хорошо (да и у народа вроде бы). Но Ledger Live пока еще не безупречен. И с серверами у них периодически проблемы - недавно не мог отправить XLM, пришлось подключаться к стороннему сервису (благо, он есть в данном случае).

Я привык судить по объективным данным, но не по жалобам посетителей реддита, которые в своем большинстве не знают как подступиться к блюду на столе. Аппаратный кошелек, его приложения,  LL и сервер это на мой взгляд разные вещи и я бы не мешал их в одну кучу.

https://www.cvedetails.com/product-list/vendor_id-20298/Ledger.html

[igor72]

Я привык судить по объективным данным, но не по жалобам посетителей реддита.

Представители леджера на реддите часто признавали справедливость этих жалоб, так что дело не всегда было в посетителях.

https://www.cvedetails.com/product-list/vendor_id-20298/Ledger.html

https://saleemrashid.com/2018/03/20/breaking-ledger-security-model/

[satscraper]

Я привык судить по объективным данным, но не по жалобам посетителей реддита.

Представители леджера на реддите часто признавали справедливость этих жалоб, так что дело не всегда было в посетителях.

https://www.cvedetails.com/product-list/vendor_id-20298/Ledger.html

https://saleemrashid.com/2018/03/20/breaking-ledger-security-model/

Не убеждает. Имея физический доступ к потрохам можно взломать практически любое устройство. Вопрос только в стоимости взлома.

[igor72]

Не убеждает. Имея физический доступ к потрохам можно взломать практически любое устройство.

Не знаю. Но помню, как они писали, что их устройство неуязвимо в том числе и при физическом доступе, благодаря секьюрному чипу. Мол, поэтому у них даже нет пломб на девайсах/коробках, как у трезора.

[andy_pelevin]

Не убеждает. Имея физический доступ к потрохам можно взломать практически любое устройство. Вопрос только в стоимости взлома.

Вопрос взлома не только в стоимости, но ещё и в целесообразности. Да, можно срезать с чипа тонкие слои и сканировать поверхность. Совместив несколько тысяч сканов в трёхмерную модель, можно получить логическую схему работы этого чипа. А что дальше?... приведут ли вложенные средства к взлому всего устройства?... Знание логической схемы устройства совсем не гарантирует перехват управления этим устройством. На гитхабе в открытом доступе лежат сотни тысяч исходников к различным финансовым программам. И что? К управлению всеми этими программами гарантированно можно получить доступ? Очевидно, что это не так.

[witcher_sense]

Имея физический доступ к потрохам можно взломать практически любое устройство. Вопрос только в стоимости взлома.

Это правда: вы не будете спать спокойно, если знаете, что ваш недавно потерянный аппаратный кошелек может находиться в руках опытного хакера. Каким бы безопасным не считался тот или иной кошелек, всегда проще переместить средства в другое место и благополучно забыть о старом кошельке. В свою очередь, возможность "удаленного" перемещения средств делает любой подобный хакинг крайне нецелесообразным: никто не станет тратить миллионы на потенциальную пустышку. Гораздо проще увести деньги другими, более традиционными методами: через фишинг или пятидолларовым ключом по голове. Взломы аппаратников - это скорее маркетинг: смотрите, мы взломали кошелек конкурента, так что берите лучше наш кошелек. (Который мы ее будем так тщательно стараться взломать.) Простому пользователю не интересны эти игры в кальмара среди хакерских групп из этих компаний: главное, чтобы обновления выпускали своевременно и чтобы средства оставались в безопасности. Все равно разумный человек не будет держать миллиарды на каком-то куске пластика с чипом, так что подобные маркетинговые вщломы останутся маркетингом.

[dwyane36]

Похоже, крах FTX спровоцировал сильный спрос на аппаратные кошельки. Так, например, в сми пишут, что у trezor доход от продаж увеличился примерно на 300% по сравнению с предыдущей неделей, а посещаемость их сайта стала на 350% больше за тот же период времени. Полагаю, что и в ближайшее время поток пользователей, желающих купить аппаратники, будет еще больше, ведь скоро "черная пятница".
Кстати, у ledger так же произошел значительный всплеск продаж.

[igor72]

Полагаю, что и в ближайшее время поток пользователей, желающих купить аппаратники, будет еще больше, ведь скоро "черная пятница".

Раз так хорошо продается, зачем скидки устраивать? Наоборот, поднимать цену нужно ).