Hardware Wallet Alternativen zu Ledger (Angebote / Diskussion / Hilfe)

[Lakai01]

Ich habe auch dieses Modell ins Auge gefasst, aber ich muss mir noch den Support für meine bevorzugten Coins ansehen und ob da ein einfaches staking auch möglich ist.

Beim Staking musst du in der Tat aufpassen, viele Coins unterstützen erstmal nur den Ledger, Support für Trezor (oder andere Hardwarewallets) kommen dann oft erst später dazu. Ein Beispiel, welches mich persönlich sehr schmerzt, ist Avalanche. Dort unterstützt das aktuelle Webwallet Trezor nicht, ich könnte also nicht so ohne weiteres auf meine AVAX zugreifen. Auch bei AZERO ist es ähnlich, auch dort gibt es noch keine Unterstützung für andere Hardwarewallets.

Man muss sich also tatsächlich sehr genau ansehen, ob die Coins der Wahl auch tatsächlich vom Trezor unterstützt werden - und vor allen Dingen, ob Drittanbieterwallets auch den Trezor unterstützen.

[1714658266]

1714658266

[1714658266]

1714658266

[1714658266]

1714658266

[Cricktor]

Der neue Trezor Safe 3 hat laut der Webseite die EAL6+ Zertifizierung, hat diese Zertifizierung auf den Hack einen Einfluss? Zu den derzeitigen Trezor Modellen habe ich nichts gefunden Seitens der Zertifizierung auch auf der Trezor Hersteller Seite wird bei den beiden aktuellen keine Zertifizierung angegeben.

Trezor One und Trezor T haben beide kein Secure Element, der Trezor Safe 3 ist der erste Trezor mit einem dedizierten Secure Element.

Außerdem sollte man sich auch fragen, was überhaupt eine EAL6+ Zertifizierung aussagt. Die Definition von EAL6 und EAL7 haut mich jetzt nicht unmittelbar vom Hocker, auch wenn die reine Definition sehr formal ist.

• Evaluation Assurance Level 6 (EAL6): System ist nach einem semiformal verifizierten Entwurf entwickelt und getestet
• Evaluation Assurance Level 7 (EAL7): System ist nach einem formal geprüften Entwurf entwickelt und getestet

Ich vermute EAL6+ ist Irgendwas dazwischen...


Die Hacks von Trezor One und Trezor T sind möglich, weil es ohne ein Secure Element verdammt schwer, ich würde sogar sagen, praktisch unmöglich ist, Geheimnisse nur mit dem Mikrocontroller selbst zu schützen und vor Extraktionsangriffen zu bewahren.

Ich bin ganz sicher nicht auf dem aktuellen Stand bei Trezor. Für den Trezor Safe 3 dürfte wohl noch kein Hack existieren, sicher bin ich mir allerdings nicht.

[Buchi-88]

Trezor warnt vor möglichen Attacken auf einige der Kundendaten.

Trezor-Wallet warnt Kunden vor Sicherheitslücke

Sensible Daten von bis zu 66.000 Trezor-Kunden könnten im Zuge eines Phishing-Angriffs gefährdet sein, wie das Unternehmen jüngst mitteilt.

Die Überschrift ist vermutlich wegen den "klicks" absichtlich nicht korrekt gewählt, aber Scam Mails sind wir ja mittlerweile gewöhnt.

[Real-Duke]

Trezor warnt vor möglichen Attacken auf einige der Kundendaten.

Immerhin gehen sie damit relativ zeitnah an die Öffentlichkeit und publizieren den Vorfall selbst.
Für gut informierte Bitcointalk Mitglieder sind solche Phishing Mails sicher keine richtige Gefahr und nur eine von vielen, die immer wieder eintrudeln. Ich mache mir bei sowas eher Gedanken um die nicht so versierten Nutzer, die im guten Glauben z.B. ihre Passphrase an einen vermeintlichen Trezor Mitarbeiter senden könnten.

[Lakai01]

[...]
Die Überschrift ist vermutlich wegen den "klicks" absichtlich nicht korrekt gewählt, aber Scam Mails sind wir ja mittlerweile gewöhnt.

Der Vorfall erinnert doch sehr stark an die Entwendung der Daten bei Ledger, zum Glück diesmal "nur" die Mailadressen und nicht der Wohnort samt Mobiltelefonnummer.
Eine Mailadresse in Kombination mit einem gültigen Nickname ist aber doch nochmal deutlich gefährlicher, das verleitet viel schneller zu einem unbedarften Klick in der jeweiligen Email.

Aber top von Trezor, dass sie selbst damit an die Öffentlichkeit gingen!

[cygan]

zudem ist nun auch eine zweite pishing mail im umlauf, die sich als Trezor als absender ausgibt...
Trezor selbst warnt davor auf keine links drauf zu klicken und keine informationen anzugeben. man kann es oft schreiben, aber ich denke da werden einige user leider drauf reinfallen

[Lakai01]

[...]
aber ich denke da werden einige user leider drauf reinfallen

Wer sich fragt, wie hier die User abgezogen werden ... ich hab mir das mal angesehen.

Klickt man auf den Link, so wird man zu einer Seite weitergeleitet um die Trezor Suite upzugraden. Das sieht auf den ersten Blick alles recht vertraut und "korrekt" aus. Der Download funktioniert auch problemlos. Startet man das Setup der heruntergeladenen Suite so wird sofort nach der Installation eine Maske präsentiert, in der man "zur Wiederherstellung" den Mnemonic Code eingeben muss ... dieser wird dann an irgendwohin gesendet und die Coins sind natürlich in dem Moment für immer verloren.

Gut gemacht und sicher sehr gefährlich ... für unbedarfte User 

[Cricktor]

Ich bin mir ja ziemlich sicher, daß in dieser Fälschung das tatsächliche Linkziel von suite.trezor.io/upgrade auf eine ganz andere Adresse zeigt, als der vermeintlich vertraut wirkende "Link" aussieht. Sowas sollte doch eigentlich sofort alle mentalen Alarmlampen grell aufleuchten lassen.

Wer auf sowas noch reinfällt, dem ist doch wirklich kaum noch zu helfen. Ich würd' jetzt nicht wirklich sagen wollen, der hätt's auch verdient.

Die Gauner stellen sich dann aber auch zum Glück etwas dämlich an, denn ein Link wie Trezor Suite Upgrade könnte vielleicht nochmal durchgehen bei den Unaufmerksamen (die Zieladresse ist natürlich absichtlich total belämmert).

[Lakai01]

Ich bin mir ja ziemlich sicher, daß in dieser Fälschung das tatsächliche Linkziel von suite.trezor.io/upgrade auf eine ganz andere Adresse zeigt, als der vermeintlich vertraut wirkende "Link" aussieht. Sowas sollte doch eigentlich sofort alle mentalen Alarmlampen grell aufleuchten lassen.

Das ist sicher so, ja. Manche Browser weisen dich da ja auch explizit schon darauf hin, dass die aufzurufende URL nicht vertrauenswürdig erscheint. Wenn die Angreifer jedoch auf suite.mytrezor.oi/upgrade weiterleiten, sieht die Sache schon ganz anders aus, das fällt wohl in der Hitze des Gefechts ("oh gott, ich muss schnell sein, sonst sind meine BTC weg") leicht unter den Tisch.

Das Thema hat deswegen auch so Brisanz, weil die Mail ja offiziell von Trezor kommt. Hier wird etwas mehr darüber diskutiert: https://forum.trezor.io/t/phishing-email-from-trezor-io/15309/37

I received this phishing email also, and it certainly made me put my coffee mug down. The text was the usual garbledeegook, but the apparent origin was what made me sit up. I know people will be affected by this.

[Cricktor]

Das Thema hat deswegen auch so Brisanz, weil die Mail ja offiziell von Trezor kommt. Hier wird etwas mehr darüber diskutiert: https://forum.trezor.io/t/phishing-email-from-trezor-io/15309/37

Danke für den Link ins Trezor-Forum. Offenbar wurde also ein Newsletter-Account von Trezor bei einem Dienstleister (Sendinblue) kompromittiert. Das ist wirklich nicht schön, weil damit die Quelle der Phishing-Emails natürlich authentisch ist. SPF/DKIM-Signierung der Emails ist dann ja gültig.

Schon scheisse, wenn man seine Dienstleister-Konten entweder nicht ausreichend absichert oder die Dienstleister schlampen.

Ich möchte mir noch kein Urteil erlauben, aber so richtig überzeugend sieht mir die Reaktion auf den Vorfall von Trezor nicht aus, wenn man den Kommentaren im Trezor-Forum folgt, wobei User-Kommentare auch immer mit Vorsicht zu genießen sind. So ein Vorfall sollte nicht nur auf X.com gemeldet werden, gehe aber auch mal davon aus, daß Trezor das nicht nur so gemacht hat.

Aber ich habe keine offizielle Trezor-Hardware-Wallet und daher auch keinen unmittelbaren Grund, dem Geschehen bei Trezor zu folgen.

P.S.
Hier ist ein etwas ausführlicherer Blog-Artikel von Trezor, der auf den Vorfall eingeht:
https://blog.trezor.io/trezor-security-alert-stay-vigilant-against-an-unauthorized-email-and-continued-phishing-attacks-1b4982c2f53c#4fc7

P.P.S.
HD-Wallet-Benutzer sollten natürlich von vornherein wissen, daß man NIEMALS seine mnemonischen Wiederherstellungswörter auf einer Online-Seite eingeben sollte, selbst wenn ein vermeintlicher Hersteller darum bettelt.

[Lakai01]

[...]
P.P.S.
HD-Wallet-Benutzer sollten natürlich von vornherein wissen, daß man NIEMALS seine mnemonischen Wiederherstellungswörter auf einer Online-Seite eingeben sollte, selbst wenn ein vermeintlicher Hersteller darum bettelt.

Das ist leider genau das Thema, ja. Die Leute kaufen sich ein Hardware Wallet, wissen aber offensichtlich viel zu wenig darüber was das eigentlich bedeutet und wo der Vorteil darin liegt. Sonst käme man auch niemals auf die Idee, den Mnemonic Code wo online einzugeben. Die Schuld würde ich hier aber gar nicht (nur) bei den Kunden suchen, hier könnten auch die Hardware Wallet-Hersteller durchaus mehr Augenmerk darauf legen, dass die Kunden verstehen und wissen, warum Trezor selbst niemals nach dem Code fragen würde.