Nos lo podemos creer, o no … BTCs robados de un ledger escondido (en un armario)

[DdmrDdmr]

Una familia, residente en Australia, le reclama a Ledger responsabilidades por la pérdida de unos 93K AUD en BTC que tenían protegidos mediante uno de sus dispositivos. Según indican, compraron BTC en marzo del 2018 (por 14K AUD), los protegieron con un Ledger, escondieron el dispositivo y la semilla en un armario, y se olvidaron del tema hasta octubre 2021. Es ese momento, al ir a mirar el balance, vieron que era de 0 BTCs: En Julio 2019, alguien vació la cuenta…

El dispositivo Ledger lo había comprado a un distribuidor oficial, Coinstop, no venía con el mnemónico de 24 palabras preescrito (lo cual sería un indicador de timo), y escondió ambos elementos en el fondo de un armario. Jura y perjura que no subió los datos de la semilla online, y que no tuvo invitados en casa entorno a las fecha de la TX del robo.

Nos lo podemos creer o no, aunque la lógica nos lleva a pensar que alguien accedió al fondo de su armario sí o sí …

Ver:
https://www.news.com.au/finance/money/costs/adelaide-family-loses-93000-after-bitcoin-hackers-empty-secure-offline-wallet/news-story/4382a1bac6cf10e7c5db5daac4e1104d

[1715029550]

1715029550

[1715029550]

1715029550

[1715029550]

1715029550

[famososMuertos]

Y...bueno, investiguemos...demostremos que hubo mal uso en el procedimiento de resguardo...cómo?

Creo que es algo que se escapa del proveedor, en todo caso por la situaciòn como se presenta no hay que ser un experto que en primera instancia alguien sabia de ello y en todo caso, tiene lógica guardar las claves y Ledger en el mismo lugar(!?)

Esto tiene pinta de ser un asunto familiar y de ser no "lógico" precavido, pero no se puede criticar quién piensa o puede pensar que alguien te puede robar en tu casa, ah! si un ladrón.

[LUCKMCFLY]

Bueno esto es algo increíble, pienso que lo que hicieron fué un robo dentro del mismo núcleo familiar, porque no encuentro otra explicación, es algo triste que ocurran estas cosas, porque no creo que la seguridad de estos aparatos sea vulnerada, la verdad es algo casi imposible que ocurra.

Además es bastante dinero el que se fué allí, sinceramente para mi es jugada de un ladrón que supo como abrir el ledger y adiós....

Pienso que donde fabricaron el Ledger no tienen nada que reclamar, escapa de toda responsabilidad , porque se pueden hacer algun tipo de auditoría, pero todo apuntará a que fué manipulado por alguna persona.

[Hispo]

Bastante serio, sin duda y un golpe duro para la economía de cualquiera.
Yo personalmente me inclino porque se trato de un robo por una persona de confianza, ya sea un familiar o un amigo que tuvo acceso a la habitación, no es rara una situación en la cual le confiesas tu tenencia de criptomonedas a la persona equivocada, en especial cuando el tópico está en boca de todos y en las pantallas de los noticiarios.

Además, si tomamos en cuenta que pasó más o menos un año desde la compra de hasta el robo, se podría descartar un fallo o ataque de cadena de distribución, porque por lo general, los scammers suelen ser poco pacientes a la hora de robar o sustraer los satoshis de la wallet, pero eso es solo mi teoría, que de ser cierta, esta personas han de empezar a hacer una lista de las personas que conocían del dispositivo y luego listar a las personas a las cuales les dijeron sobre su inversión en Bitcoin, hacer una denuncia respectiva y que las autoridades empecen los interrogatorios.

Por cierto, eso de guardar la wallet y la semilla en el mismo lugar fue un desafortunado error de novatos...

[DdmrDdmr]

Tiene toda la pinta, efectivamente, de que alguien del entorno familiar, o del círculo de amigo o visitas/servicios ha tenido acceso al dispositivo. De hecho, en el artículo cita que no hubieron visitantes al domicilio entorno a las fechas de la TX de salida, pero quien haya sido puede perfectamente haber esperado unas semanas o meses para disimular.

Tampoco conocemos lo que llegó a contar a su familia directa, y uno de ellos podría haber extendido el círculo al comentárselo a un amigo suyo. También estar el factor vino/cerveza/alcohol, que suelta la lengua y no necesariamente con el recuerdo asociado.

Esto abre otro debate. Suponiendo que no se accedió a utilizar el Ledger a través de su pin, sino el nemónico de 24 palabras:

Q) ¿Es bueno/malo/depende almacenar la semilla en formato de texto libre?

Ver por ejemplo la discusión en este hilo en inglés (por cierto por parte de alguien que domina nuestro idioma, pero que no parece prodigarse por estos lodos): HACK IT! (a friendly challenge for the forum's experts)

Nota: Descarto la colisión de semillas en dos carteras creadas al azar (o eso quiero).

[womanderful]

Q) ¿Es bueno/malo/depende almacenar la semilla en formato de texto libre?

Como todo en la vida, es bueno y malo a la vez. Es bueno porque, si te das el proverbial golpe en la cabeza, el dinero no se pierde. Es malo porque (inserte aquí el OP).

El chaval del hilo al que enlazas, aunque bastante criticado, me parece que tampoco lo ha hecho tan mal. Está claro que si quedas en coma todo se va al garete, está claro que si los herederos no quieren colaborar no hay nada que hacer pero, contando con que uno no se va a quedar en coma o que al menos un heredero está por la labor, no es mala idea usar un método sencillo de seguridad mediante oscuridad para ofuscar ligeramente la semilla. A veces la mejor manera de esconder las cosas es a plena luz del día.

Hay otro factor del que no veo a nadie hablar, y es el de desbloquear los fondos con cierta frecuencia. Por ejemplo, una vez cada 2 semanas, arrancar electrum y meterle la semilla. Con el tiempo te vas aprendiendo algún par de palabras (por ejemplo "federal matrix" o "brown pen") y eso, en caso de golpe (leve) en la cabeza, facilita el posterior uso de la fuerza bruta. También, ver el saldo a cero y saber que hace 15 días no estaba a cero, podría facilitar el rastreo del ladrón.

[DdmrDdmr]

En todo esto, habría que ponderar cómo entra en juego la familia/pareja, de formar parte de la ecuación. Puede que parte del plan de contingencia pase porque ellos sepan acceder a la semilla, y aquí, donde hay una opción de rescate de los fondos, también está la opción de perderlos, bien porque a alguno le venga en gana tener un dinerillo extra en algún momento dado, bien por haber un método de encriptación, que por básico que sea, no se acuerden cómo va (y no te digo si tiene una cierta complejidad).

Se pueden apuntar cosas, tener claves almacenadas en varias instancias (replicadas o fraccionadas), y un sinfín de posibilidades, pero a la postre, entiendo que el método debe ser acorde a las circunstancias y al entorno de cada cual, y esto no siempre es sencillo de calibrar en términos de riesgo de accesos indebidos, potencial de no lograr un acceso debido cuando se tercie (terceros sobre todo), o imposibilidad de acceder a la memoria propia en los términos que uno querría.

[Hispo]

-snip-

Creo que no hay nada de malo en almacenar las semillas en texto libre, el fallo viene en el manejo de las mismas, por lo que se trata de un tema de error humano.

Mi sistema personal es el siguiente:

-Semillas generadas en Trezor one
-Almacenadas en papel el cual no tiene mención alguna sobre criptomonedas ni Bitcoin
- Papel oculto en lugar seguro solo bajo mi acceso
- _{También he memorizado mis 24 palabras}

Creo que eso es suficiente por ahora.

Sobre el fallo de la familia Australiana: en el peor de los casos este incidente se trata de una vulnerabilidad descubierta en los Ledger y no reportada que podrìa estar siendo usada por hackers de sombrero negro para su pronta jubilación. He leido antes como usuarios de las HW no se fian completamente de los generadores de entropía/números aleatorios de los dispositivos y prefieren hacerlo ellos mismos.

Solo es una especulación, esperemos que falsa.

[DdmrDdmr]

<…> _{También he memorizado mis 24 palabras} <…>

Este aspecto había ponderado probar de memorizarlo a modo de canción, con los añadidos pertinentes. Cierto es que, para este ejercicio, 12 palabras es mucho más llevadero que 24 como también es mi caso, pero visto que la letras de las canciones con algo de melodía, o versos labrados, son elementos que recordamos durante mucho tiempo, sería una manera tentativa de abordar su memorización.

En cuanto al caso referenciado en el OP, esta es la dirección de partida hackeada (supuestamente):
https://www.blockchain.com/btc/address/3CNvM8Kx2pasNEWvjZrVUK1eJ7HfdrRpYh

Esta es la receptora:
https://www.blockchain.com/btc/address/3CmeELyuY1AeqU7y2RgJ8pNkvoJ6mot7eU
https://www.bitcoinabuse.com/reports/3CmeELyuY1AeqU7y2RgJ8pNkvoJ6mot7eU

Los BTCs se movieron a la dirección receptora en Julio 2019. Y no se han movido desde entonces. No parece producto de un hackeo, el patrón, de ser un robo, sería raro (sin gastarlo ni moverlo más).

[Hispo]

-snip-

Mi técnica consistió en dividir las 24 palabras en dos grupos de 12 y crear dos historias cortas con cada grupo.
Mientras me relato la historia a mi mismo cuento las palabras que importan, cabe destacar que estas siempre se ubican al principio o al final de cada frase de la historia, para facilitar el proceso.


Ahora bien, con respecto al robo, es algo misterioso el hecho de que los satoshis no se moviesen, después de tanto tiempo.
El ladrón, de saber que se trataban de ahorros a largo plazo ocultos en un closet, pudo haber tomado esto como ventaja (sabiendo que nadie notaría el robo) para pasar los fondos por diversos servicios de mezclado o directamente convertirlos a Monero, etc.

Muy irregular la situación, ya hasta me estoy empezando a plantear hay alguna otra explicación mucho más rebuscada y con consecuencias más graves para los usuarios de este tipo de dispositivos...

[DdmrDdmr]

<…>

Ahora que hemos reflotado este tema en mi memoria, a ver si realmente pongo en práctica ya su memorización, a través de alguno de las técnicas que hemos comentado. Por cierto que, como complemento, va bien tener la semilla o el hardware wallet replicados en más de un lugar, y si tienen cierta distancia entre sí mejor. Eso sí, con las medidas de seguridad pertinentes, para que no sean un punto de vulnerabilidad en lugar de seguridad ...

[famososMuertos]

Creo que la media alta de usuarios escribe sus claves una vez y listo, la primera vez y luego ni se acuerdan en que libreta agenda, papel, etc. Creo que nos pasa a todos, la mayoría no le damos la importancia debida por el monto, unos cuantos dolares o incluso una wallet ahí para...

Ahora bien, en el punto que nos compete "todos" en serio, el 100% de cualquier usuario(s) de HW deberían tener varias técnicas, por cierto han nombrado varias en este hilo, bien, cuestionables o no, pero existen màs allá del paso básico de seguridad.

A mi me gusta las fotos clásicas con sus fechas, de hecho en un mundo digital, una de papel fotográfico no es comùn, en casa de mi abuela existen fotos familiares, decidí escribirles atrás una palabra que se supone corresponde en orden a la fecha de la foto, esto lo estoy escribiendo por cierto  para una historia que estoy desarrollando, quizás pronto en Netflix, pronto sea parte de un betseller, en fin, que sirva este post como la referencia creativa del mismo, si existe, que alguien me lo demuestre, comprobable.

Por otro lado es complejo, porque son 12(13) 0 24 fotos que no están en tu resguardo y además recién en estas fiestas navideñas me regalaron una, y en ese sentido es complicado, las abuelas son muy quisquillosas con sus fotos pero que si regalan algunas, en fin que sin importar eso, no le puedes decir a tu abuela; "abuela nunca regales esta foto".

De hecho ninguna abuela aceptaría que les escribirían palabras "tontas" en sus fotos, el punto es que me regalo una y no tenia una palabra pero si una fecha 1989.

Eso me hizo pensar que era mejor agregar una decodificaciòn numérica por fechas+ palabra, no seria tan extraño y màs fácil decodificar.

Entonces es fácil usar nuestro propio código, se pueden usar como guías a la idea los existentes por ejemplo ASCII que incluso tiene sus variantes de acuerdo a las necesidades de las nacionalidades...digamos entonces que para usar algo original cree algo como, Seed12, Seed13 o Seed24, entonces asigne la mitad de la palabra secreta a la fecha y la otra mitad corresponde al final de la palabra agregada que siempre seria par, es decir (mitad)palabras de 4, 6, 8, etc. letras y deja las (la otra mitad)palabras impares en la fecha, una palabra de 5 letras, es 3+2, una de 7 es 3+4 y así sucesivamente, en fin por ahì van los tiros, no puedo contarles màs, pero  una codificación propia de las palabras ayudaría, esto que estoy planteado tiene sus debilidades, es la idea, es el asunto de la historia, la mìa, la que escribo, espero no se me adelanten, si esta idea se contempla en el desarrollo de alguna serie, película, foro, blogs o cualquier medio publico, no es original.
 

[Silberman]

Una de las cosas que jamás me han gustado de las hardware wallets es que tan solo con poseer una se manda el mensaje de que uno tiene criptomonedas y esto puede ser peligroso, recuerdo haber leído un libro que narraba una pequeña anécdota de como una persona estaba remodelando su casa y cuando el dueño preguntó si se podía poner una caja fuerte en la pared inmediatamente toda la construcción se puso en silencio, incluso si el dueño tan solo quería esa caja fuerte para guardar documentos importantes, el primer pensamiento que se la pasa por la mente a la mayoría de las personas es el dinero que puede estar guardado en una caja fuerte, y algo similar ocurre con las hardware wallets.

Así que lo más probable como ya se ha comentado es que alguna persona, ya sea que haya sabido de antemano que la cartera estaba ahí o la encontró por pura casualidad, encontró el dispositivo y una lista de palabras que inmediatamente identificó como las palabras semilla y simplemente se tomó su tiempo para perpetrar el atraco y no levantar sospechas hacia su persona.

La única otra posibilidad que se me ocurre es que en el artículo se menciona que la victima tuvo que bajar unas extensiones en el navegador, y que quizá lo hiciera desde un sitio comprometido y que ya desde entonces el hacker tuviese sus datos, y que la razón por la que no robo el dinero de inmediato fue porque talvez estaba esperando que se hiciesen aún más depósitos y así poder robar aun más dinero, y cuando vio que esto no iba a ocurrir finalmente procedió a robar lo que pudo.

[Hispo]

<…>

-snip-

Yo no me siento convencido acerca de la técnica de dividir la semilla y separarles remotamente, nose, personalmente prefiero tener la sensación de control en todo momento sobre ellas.

Creo que la única forma en la que haría algo semejante es si estoy 100% seguro de haberlas memorzado y tengo intrucciones de su ubicación ocultas en un lugar. Pero bueno, es mi caso personal.

-snip-

El caso que expones es cierto, sin embargo, no olvidemos que las HW son dispositivos que pueden ser bastante discretos.
De hecho los Ledger fueron diseñados para parecer memorias USB.

claro, nada de esto importa si se esta revelado a diestra y siniestra la tenencia de Bitcoin o HWs.

[arranka]

los ledger estan todos adulterados para capturar la frase semilla

en este mismo foro en la parte de ingles se habla del tema o hay comentarios sobre ellos

guardar btc en ledger es suicida

lo mejor es electrum o la oficial hasta ahora

[DdmrDdmr]

<…>

En el tema de las fotos, una posibilidad estaría en montar un fotolibro con la semilla incluida en el mismo, buscando con este formato que no hubiese posibilidad de que las fotos se cambiasen de orden ni se regalasen aisladamente (lo cual no quiere decir que el libro no desaparezca un buen día).

Un aspecto a ponderar es que cada palabra de la semilla se corresponde con una entrada fija numérica de una tabla de equivalencias BIP39, luego se podrían utilizar los números equivalentes de múltiples maneras (ej/ 2047184215230043 sería zone, tower, salad, aim; tambien pasarlo a HEX->745E737F0465B --> Esto sería algo básico, a complicar a voluntad y riesgo).

<…>

La posibilidad que apuntas diría que no se puede dar en el uso habitual del Ledger: la semilla te la da el dispositivo en sí, y mientras no la apuntes en el ordenador, no hay manera de que la vean a través de una extensión, ni con un RAT (entendiendo que no hizo toda la operación de inicialización apuntando el dispositivo a una cámara).

<…>

Por replicado, me refería realmente a clonado, y no tanto a dividido en dos.

<…>

Si tienes o localizas las fuentes fiables en las cuales basas tu comentario, estaría encantado de leerlos.

[Hispo]

-snip-

Creo que mientras más copias existan de las claves privadas, ¿no existe más posibilidad de una filtración o robo?

Creo que por ahora, para mis humildes cantidades, una copia y la memorización es suficiente. 

[DdmrDdmr]

<…>

Por contra, si lo tienes todo en un mismo sitio, y hay un siniestro en el mismo (incendio por ejemplo), lo más probable es que ya no puedas acceder a las claves, de ahí que va bien ponderar alguna solución fuera del entorno actual, aunque sea encriptado o a modo de hardware wallet secundario (actualizando el firmware de vez en cuando).

El peor escenario es que uno estuviese además afectado por el siniestro de manera irremediable, y si hay algún heredero, sin plan alternativo fuera del entorno actual, no habría manera de acceder a los fondos.

[darxiaomi]

los ledger estan todos adulterados para capturar la frase semilla

en este mismo foro en la parte de ingles se habla del tema o hay comentarios sobre ellos

guardar btc en ledger es suicida

lo mejor es electrum o la oficial hasta ahora

Como ya te dijeron, si podes pasa la fuente.

Yo creo que siempre se debe guardar por separado todo.
Lo de memorizar solo si es mucho dinero (plottwist: le agarra amnesia).

Tambien se podria utilizar la tecnica de marcar en un libro que uno sepa las palabras. Subrayandolas digamos, seguro en un diccionario estaran todas, si no en algun libro que justo tenga toda las palabras de nuestra semilla.

Tambien se podria tener una copia digital en un block de notas en alguna memoria muy escondida y asi mil cosas.

Una de las cosas que jamás me han gustado de las hardware wallets es que tan solo con poseer una se manda el mensaje de que uno tiene criptomonedas y esto puede ser peligroso

Pienso igual hay que tener cuidado con eso a veces esas cosas son "un llamador"

[DdmrDdmr]

<…> Tambien se podria utilizar la tecnica de marcar en un libro que uno sepa las palabras. Subrayandolas digamos, seguro en un diccionario estaran todas, si no en algun libro que justo tenga toda las palabras de nuestra semilla.

Lo que le faltaría a esta técnica es poder preservar el orden de las palabras, dado que la semilla las precisa en el mismo orden en el cual fueron creados para ser válida. Poder dar con un libro que permita subrayarlas en orden debe ser harto complicado …:

Permutaciones sin repetición de 12 elementos (n!): 479001600
Permutaciones sin repetición de 24 elementos (n!): 6.204484017332394e+23