A importância de se proteger do ataque da chave de fenda de 5 reais!

[lcharles123]

Olha que loucura... acabei de ver essa história no twitter: https://twitter.com/MrVanDep/status/1522324368843493377

O cara tava de boa no taxi, com a janela aberta, passou um cidadão e tomou o celular da sua mão... até o fim do dia já tinham rapado todo o seu saldo do Nubank e Banco do Brasil, pedido R$ 2k em whisky pelo IFood e feito um empréstimo no seu nome. Mais de R$ 116k de prejuízo...

Isso que nem precisaram da chave de fenda.

Entao essa que era a "thread do nubank" que o pessoal estava falando no twitter  

Eu ja pensava nesse tipo de situação desde o primeiro dia que comecei a usar app de banco no celular. Então sempre usei o banco em um celular que fica sempre em casa, e caso precise de enviar dinheiro, eu faço pelo bot do Banco do Brasil pelo whatsapp, de la so sai 300 por dia. Também não uso nenhum tipo de cartão, só dinheiro físico, ate tambem por questões de privacidade.

O ideal seria pedir ao banco para impor limites de transação pelo app, fica mais difícil de mover grandes quantias mas evita roubos grandes como esse.

Eu acho que a melhor forma de guardar o BTC eh escrever a chave privada ou seed em um armazenamento confiavel e apagar fisicamente o arquivo do dispositivo no qual ele foi gerado.
Aqui tem uma lista desses armazenamentos confiaveis: https://bitcointalk.org/index.php?topic=5278839.0
E para ara transportar a carteira, memorizar o seed.

E pensando nesse negocio de espalhar as chaves ou usar carteiras fake, pensei agora que seria uma boa usar uma tecnologia antiga, o One-Time Pad para cifrar uma chave privada. One time pad eh inquebrável, mesmo com poder de processamento e memoria infinitos, ele foi muito utilizado na Segunda Gerra e Guerra Fria, eh possivel utiliza-lo sem computador, fazendo as contas no papel.

Adaptando o algoritmo original do OTP: gera-se duas chaves privadas M e C, cada uma em computadores diferentes para aumentar a aleatoriedade, C eh a carteira falsa e M, a real, entao a partir delas obtem-se K usando a subtraçao modular entre C e M. K eh a chave do OTP que deve ser mantida em sigilo e M deve ser destruida. Se um assaltante obter C, ele tera os fundos da carteira falsa. Mas a chave M ficara protegida porque ela nao existe no mundo real e nem no digital, e so podera ser obtida de C usando K, por isso eh essencial gravar as duas chaves nos dispositivos de armazenamento confiaveis listados acima, e deixa-las separadas eh claro, tendo backup de C em mais de um lugar. Pode ate usar essa carteira como a hot wallet e mante-la no computador com copia no drive e tal, fingindo que possui apenas ela. E mantendo um saldo pequeno.
K + M = C
Parece besta mas fica mais interessante quando se usa multiplas chaves K, algumas podem ser carteiras validas com algum saldo pra confundir o autor da extorsao.

[bitmover]

Olha que loucura... acabei de ver essa história no twitter: https://twitter.com/MrVanDep/status/1522324368843493377

O cara tava de boa no taxi, com a janela aberta, passou um cidadão e tomou o celular da sua mão... até o fim do dia já tinham rapado todo o seu saldo do Nubank e Banco do Brasil, pedido R$ 2k em whisky pelo IFood e feito um empréstimo no seu nome. Mais de R$ 116k de prejuízo...

Isso que nem precisaram da chave de fenda.

Entao essa que era a "thread do nubank" que o pessoal estava falando no twitter  

Eu ja pensava nesse tipo de situação desde o primeiro dia que comecei a usar app de banco no celular. Então sempre usei o banco em um celular que fica sempre em casa, e caso precise de enviar dinheiro, eu faço pelo bot do Banco do Brasil pelo whatsapp, de la so sai 300 por dia. Também não uso nenhum tipo de cartão, só dinheiro físico, ate tambem por questões de privacidade.

O ideal seria pedir ao banco para impor limites de transação pelo app, fica mais difícil de mover grandes quantias mas evita roubos grandes como esse.

Essa história está ficando bastante conhecida e estou começando a me preocupar com isso.

Descobri que a samsung tem uma especie de pasta segura. Vou fazer uns testes hoje nessa pasta.

Voce coloca seus apps financeiros ali, e o bandido não consegue ver que voce tem aplicativos ali.

https://www.samsungknox.com/pt-br/solutions/personal-apps/secure-folder

Seria interessante esse tipo de coisa para proteger o seu principal aplicativo financeiro, e deixar o bandido roubar os menores que são menos importantes.
Nesse caso, pode ser interessante ter uma conta bancária alternativa num banco menor e deixar o assaltante achar que é a sua principal.

[joker_josue]

Seria interessante esse tipo de coisa para proteger o seu principal aplicativo financeiro, e deixar o bandido roubar os menores que são menos importantes.
Nesse caso, pode ser interessante ter uma conta bancária alternativa num banco menor e deixar o assaltante achar que é a sua principal.

Existe um ditado português que diz: "Nunca coloque todos os ovos no mesmo cesto."

E acho que isso aplica-se bem a estas coisas, devemos tentar espalhar os nossos ativos por varias contas, assim se algo acontecer com uma, não afeta todo o nosso património.

[l3pox]

@lcharles123

gerar a seed em qualquer ambiente conectado a internet não será tão seguro quando gerar numa carteira física, a carteira física cria a seed antes de conectar então a seed em teoria nunca fica exposta

tem outras maneiras ainda mais seguras de gerar a seed completamente offline.

sobre memorizar a seed, é uma forma, mas e se inesperadamente você bate a cabeça e acaba se esquecendo de uma palavra ou da ordem delas?
Pode ser arriscado.

[lcharles123]

@lcharles123

gerar a seed em qualquer ambiente conectado a internet não será tão seguro quando gerar numa carteira física, a carteira física cria a seed antes de conectar então a seed em teoria nunca fica exposta

tem outras maneiras ainda mais seguras de gerar a seed completamente offline.

sobre memorizar a seed, é uma forma, mas e se inesperadamente você bate a cabeça e acaba se esquecendo de uma palavra ou da ordem delas?
Pode ser arriscado.

Entao, eu omiti essa questão, me referia a ambientes seguros mesmo, aqui tem um script em bash que gera os seeds https://gist.github.com/atoponce/c608e98f091b1e7446a9d8610ddaf67c tem pra chaves privadas tb.
Assumindo que você deu boot em um liveCD legitimo e não conectou a internet, só usar isso no terminal. Segurança padrão CIA. 
Eu acho coisa mais importante que esconder o seed eh não perdê-lo. Por isso seria interessante usar um armazenamento resiliente, e quem sabe enterrar em algum lugar na horta da sua casa ou em um vaso de planta (de forma a não levante suspeitas).

[bitmover]

Eu acho coisa mais importante que esconder o seed eh não perdê-lo. Por isso seria interessante usar um armazenamento resiliente, e quem sabe enterrar em algum lugar na horta da sua casa ou em um vaso de planta (de forma a não levante suspeitas).

O problema imediato que eu vejo desses métodos é a umidade. Mesmo envolto em plástico, a umidade pode destruir o papel.

Seria recomendável ter uma cópia desse papel em outro local, mais protegido da umidade.
Depois dr uns 5-10 anos esse papel enterrado pode estar ilegível.

Mas certamente é um bom esconderijo

Ja ouvi de pessoas qje investem em gemas preciosas que um bom local para esconder seria num aquário com peixes. O ladrão rouba a casa inteira e deixa o aquário lá com milhões.

As vezes o lugar mais a vista é bem seguro.

[l3pox]

Eu acho coisa mais importante que esconder o seed eh não perdê-lo. Por isso seria interessante usar um armazenamento resiliente, e quem sabe enterrar em algum lugar na horta da sua casa ou em um vaso de planta (de forma a não levante suspeitas).

O problema imediato que eu vejo desses métodos é a umidade. Mesmo envolto em plástico, a umidade pode destruir o papel.

Seria recomendável ter uma cópia desse papel em outro local, mais protegido da umidade.
Depois dr uns 5-10 anos esse papel enterrado pode estar ilegível.

Mas certamente é um bom esconderijo

Ja ouvi de pessoas qje investem em gemas preciosas que um bom local para esconder seria num aquário com peixes. O ladrão rouba a casa inteira e deixa o aquário lá com milhões.

As vezes o lugar mais a vista é bem seguro.

lembrei desse tweet aqui, altas ideias de esconderijos secretos
https://twitter.com/BeardedGenius/status/1522554812440752130

quanto a proteção pra humidade dá pra usar aço
alguns sites até vendem soluções personalizadas de aço com espaço para escrever a seed.

[joker_josue]

lembrei desse tweet aqui, altas ideias de esconderijos secretos
https://twitter.com/BeardedGenius/status/1522554812440752130

quanto a proteção pra humidade dá pra usar aço
alguns sites até vendem soluções personalizadas de aço com espaço para escrever a seed.

Eu não digo para usar essas ideias, que até podem ser boas, mas assim como nós vimos os ladrões também veem.
Agora pegar nessas ideias e tentar olhar a nossa volta em casa e ver locais bons para colocar.

Mas as vezes nem é preciso ter tanto trabalho, porque no caso da seed é preciso que o criminoso saiba o que procura, caso contrario, ver um caderno cheio de letras, tipo um diário, passa bem ao lado.

[Paredao]

Depois o pessoal fica chateado quando eu fico de zoação. Mas não seria mais fácil comprar uma máquina de gravação(cnc broca ou laser) dessas baratinhas ? Pois ao meu ver, o ladrão só vai querer roubá-lo quando vc tiver algo significante para ser roubado. Compra uma gravadora e grava numa placa plástica ou dependendo do modelo da máquina dá para gravar em metal.

[alegotardo]

Depois o pessoal fica chateado quando eu fico de zoação. Mas não seria mais fácil comprar uma máquina de gravação(cnc broca ou laser) dessas baratinhas ? Pois ao meu ver, o ladrão só vai querer roubá-lo quando vc tiver algo significante para ser roubado. Compra uma gravadora e grava numa placa plástica ou dependendo do modelo da máquina dá para gravar em metal.

Olha, acho que o problema é a falta de praticidade mesmo.
Para pessoas mais sábias como você isso pode não ser um problema, nas verdade acho que é algo até mesmo aventureiro, ou não?
Mas para o maior público cripto (as pessoas jovens)  o melhor ainda é comprar Bitcoin e deixar ele "guardado" na exchange, no máximo passar para uma electrum no pc ou o primeiro APP mobile que encontrou na loja de aplicativos.

[joker_josue]

Recentemente o jornal The Guardian fez um artigo com base nos relatórios da policia de Londres, sobre uma assaltos para roubar os telemóveis e as respetivas criptomoedas.

Gostei especialmente de um comentário feito pela policia:

“You wouldn’t walk down the street holding £50 notes and counting them. That should apply to people with crypto assets,”

Como isto é uma grande verdade.

Artigo: https://www.theguardian.com/technology/2022/may/08/crypto-muggings-thieves-in-london-target-digital-investors-by-taking-phones

[bitmover]

Olha, acho que o problema é a falta de praticidade mesmo.
Para pessoas mais sábias como você isso pode não ser um problema, nas verdade acho que é algo até mesmo aventureiro, ou não?
Mas para o maior público cripto (as pessoas jovens)  o melhor ainda é comprar Bitcoin e deixar ele "guardado" na exchange, no máximo passar para uma electrum no pc ou o primeiro APP mobile que encontrou na loja de aplicativos.

Sinceramente,  eu acho tão fácil e barato e prático comprar uma hardware wallet.
Principalmente par quem tem mais de uns 50mil reais em cripto.

O pessoal entra nesses fundos da XP ou de bancos, até previdência privada, e pagam 2% de taxa sobre o patrimônio por ano pro administrador do fundo.
2% de 50mil são mil reais por ano, eternamente.

Mas aí vão pagar 500 reais numa hardware wallet,  uma vez na vida  e acham caro.

Você pega a hardware wallet, anota a seed num papel,  faz umas 2 copias e pronto. Seguranca pra 99.9% dos casos.

[alegotardo]

Sinceramente,  eu acho tão fácil e barato e prático comprar uma hardware wallet.
Principalmente par quem tem mais de uns 50mil reais em cripto.

O pessoal entra nesses fundos da XP ou de bancos, até previdência privada, e pagam 2% de taxa sobre o patrimônio por ano pro administrador do fundo.
2% de 50mil são mil reais por ano, eternamente.

Mas aí vão pagar 500 reais numa hardware wallet,  uma vez na vida  e acham caro.

Você pega a hardware wallet, anota a seed num papel,  faz umas 2 copias e pronto. Seguranca pra 99.9% dos casos.

Ok, mas ainda assim não é tão prático quando manter o valor na exchange e conseguir comprar ou vender em poucos cliques em uma úncia tela, entende?
insisto no assunto porque a pouco tempo eu estava justamente tentando convencer um amigo a tirar umaquantidade considerável de satoshis da Bitcointrade e por fim acabei não conseguindo convencer ele.

Creio que além dessa "praticidade" outro motivo seja o medo de fazer a custódia de seu próprio Bitcoin, principalmente para quem não entende muito do assunto, parece que é mais fácil confiar na exchange do que em si mesmo.

[TryNinja]

Creio que além dessa "praticidade" outro motivo seja o medo de fazer a custódia de seu próprio Bitcoin, principalmente para quem não entende muito do assunto, parece que é mais fácil confiar na exchange do que em si mesmo.

Consigo ver lógica nesse argumento.

Ao realizar a própria custodia, VOCÊ é o elo mais fraco. E nem todo mundo tem a nossa "expertise" de saber perceber scams, phishings, de evitar baixar malware, etc...

Ainda que há sempre o risco de uma exchange ser hackeada, absolutamente NÃO é uma questão de tempo até todas sofrerem esse destino. Há muito bem diversas exchanges que nunca vão ser hackeadas na vida, então está tudo bem preferir transferir essa responsabilidade para alguém que é pago para isso.

Claro que existem outros potenciais problemas, como o risco de um governo exigir o bloqueio da sua conta, etc... mas isso dificilmente vai acontecer com a grande maioria das pessoas, principalmente com o tiozinho que tem 0.25 BTC..

[joker_josue]

Ainda que há sempre o risco de uma exchange ser hackeada, absolutamente NÃO é uma questão de tempo até todas sofrerem esse destino. Há muito bem diversas exchanges que nunca vão ser hackeadas na vida, então está tudo bem preferir transferir essa responsabilidade para alguém que é pago para isso.

Isso é verdade, nem todas irão ser hackedas. Mas também não sabemos que terão essa "sorte". Até as empresas mais seguras do mundo, sofrem ataques. Qualquer das formas, concordo que o guardar nas exchanges não é problema, desde que a pessoa tenha a consciência dos riscos que corre.

As exchanges não são um banco tradicional, onde os clientes tem algum nível de proteção e caso de problemas.

[TryNinja]

Isso é verdade, nem todas irão ser hackedas. Mas também não sabemos que terão essa "sorte". Até as empresas mais seguras do mundo, sofrem ataques.

Lógica que podemos usar para literalmente tudo na vida.

Toda casa pode ser invadida, não sabemos quais terão essa sorte.
Todo galão d'agua pode ser envenenado, não sabemos quais terão essa sorte.

e assim vai...

[l3pox]

Isso é verdade, nem todas irão ser hackedas. Mas também não sabemos que terão essa "sorte". Até as empresas mais seguras do mundo, sofrem ataques.

Lógica que podemos usar para literalmente tudo na vida.

Toda casa pode ser invadida, não sabemos quais terão essa sorte.
Todo galão d'agua pode ser envenenado, não sabemos quais terão essa sorte.

e assim vai...

vale lembrar também que as maiores exchanges atualmente (pelo menos as gringas) tem um fundo especial que é alimentado pelo faturamento da exchange justamente para remediar possíveis casos de hacks
a bitmex tem, até onde eu sei, e a binance batizou o dela de SAFU.

[alegotardo]

vale lembrar também que as maiores exchanges atualmente (pelo menos as gringas) tem um fundo especial que é alimentado pelo faturamento da exchange justamente para remediar possíveis casos de hacks
a bitmex tem, até onde eu sei, e a binance batizou o dela de SAFU.

Por falar nisso, alguma exchange possui publicamente um fundo desses?
A gente sabe, ou pelo menos espera, que eles tenham algum fundo de emergência meio que exclusivo e protegido para essas eventualidades que não seja apenas os criptos em cold-wallet que na real pertencem aos usuários que mantém seus fundos lá.

[bitmover]

vale lembrar também que as maiores exchanges atualmente (pelo menos as gringas) tem um fundo especial que é alimentado pelo faturamento da exchange justamente para remediar possíveis casos de hacks
a bitmex tem, até onde eu sei, e a binance batizou o dela de SAFU.

Por falar nisso, alguma exchange possui publicamente um fundo desses?
A gente sabe, ou pelo menos espera, que eles tenham algum fundo de emergência meio que exclusivo e protegido para essas eventualidades que não seja apenas os criptos em cold-wallet que na real pertencem aos usuários que mantém seus fundos lá.

A Binance tem a SAFU:

https://academy.binance.com/en/glossary/secure-asset-fund-for-users
Estão nesses links:
https://bscscan.com/address/0x4B16c5dE96EB2117bBE5fd171E4d203624B014aa
https://blockchair.com/bitcoin/address/1BAuq7Vho2CEkVkUxbfU26LhwQjbCmWQkD

O de BTC tem quase 8 mil BTC, e o outro possui mais de 300 milhões de tokens.

[joker_josue]

Estão nesses links:
https://bscscan.com/address/0x4B16c5dE96EB2117bBE5fd171E4d203624B014aa
https://blockchair.com/bitcoin/address/1BAuq7Vho2CEkVkUxbfU26LhwQjbCmWQkD

O de BTC tem quase 8 mil BTC, e o outro possui mais de 300 milhões de tokens.

8 mil BTC? 

Realmente, só se o cara virar muito desonesto é que a malta fica sem o seu dinheiro em casa de uma desgraça muito grande com a Binance.
Pode não vir a conseguir devolver a 100%, isso seria sempre impossível, mas iria compensar a todos com boas quantias.