Discussão geral sobre Hardware wallets

[sabotag3x]

Site da Trezor foi atacado e um brasileiro digitou sua seed nele.. perdeu uns R$ 70k

A culpa é de quem?

Primeiro golpe do tipo que vejo dar resultado, mais pessoas além dele caíram.

Cobertura: https://livecoins.com.br/investidor-brasileiro-perde-r-72-000-em-golpe-no-site-da-trezor/

[TryNinja]

A notícia também é super incompleta. Diz que tem de atualizar por causa de uma falha, mas não indica qual é a falha.

Enfim, também não fui pesquisar porque não tenho esse tipo de equipamento.
Mas é bom o alerta para quem têm poder atualizar.

Pelo que eu vi, no link que eles postaram tem um relatório técnico explicando a falha:

https://blog.blockstream.com/jade-security-disclosure/

[joker_josue]

A notícia também é super incompleta. Diz que tem de atualizar por causa de uma falha, mas não indica qual é a falha.

Enfim, também não fui pesquisar porque não tenho esse tipo de equipamento.
Mas é bom o alerta para quem têm poder atualizar.

Pelo que eu vi, no link que eles postaram tem um relatório técnico explicando a falha:

https://blog.blockstream.com/jade-security-disclosure/

Ok. Já é alguma coisa.
Mas uma notícia bem dada, eles tinham feito um pequeno resumo dessa falha.

[bitmover]

Site da Trezor foi atacado e um brasileiro digitou sua seed nele.. perdeu uns R$ 70k

A culpa é de quem?

Primeiro golpe do tipo que vejo dar resultado, mais pessoas além dele caíram.

Cobertura: https://livecoins.com.br/investidor-brasileiro-perde-r-72-000-em-golpe-no-site-da-trezor/

Eu acho que é obrigação do usuario ler o manual de instruções do equipamento.

La no manual diz para nao compartilhar sua seed com ninguém  , nao colocar em nenhum lugar online  etc...

O cara foi la e fez algo sem ler o manual....

Mas, quem sou eu ne. Como o valor é relativamente pequeno, cerca de 10k usd, acho que a trezor pode ate bancar se der muita repercussão.

[Forsyth Jones]

-

-

Exato, o pior erro que um iniciante que caiu de paraquedas no Bitcoin e no mundo cripto em geral, é ir de cara comprar uma hardware wallet, as chances de perder dinheiro são muito grandes.

Pois se um usuário não sabe a importância de uma seed phrase, ele vai guardar isso num bloco de notas do Windows (kkk) ou simplesmente não anotar/jogar fora, vai só anotar no momento da geração da wallet, pois a maioria obriga o usuário a confirmar se realmente anotou ou não... mesmo com todos essas medidas de seguranças, os usuários ou perdem os fundos ou perdem os fundos para bandidos via phishing.

Ainda tem o malware do clipboard que adultera o endereço, todo cuidado é pouco até na hora de movimentar os fundos na hardware wallet, mas não, a maioria se sente um super-homem ao usar uma.

Enquanto as pessoas não entender que a seed phrase é mais importante a hardware wallet, ele não está preparado pra ter uma hardware wallet, o aparelho pode até quebrar, dependendo da sua quantia, basta comprar outro ou ter um backup em casa.

O ideal pra um novato seria ele baixar uma wallet no desktop ou celular e ir experimentando, enviando um pouquinho, transferir pra outros serviços, utilizar a wallet, entender da importância das chaves e aí depois partir pra uma hardware wallet.

[sabotag3x]

Como o valor é relativamente pequeno, cerca de 10k usd, acho que a trezor pode ate bancar se der muita repercussão.

Tem perdas de outras pessoas também.. passa os US$ 100.000 no total.. mesmo assim também acho que seria uma quantia pequena para eles..

O problema é que isso abriria precedente para outros casos.. o erro final foi do usuário.. imagina se invadem o Bitcoin Data Science, você vai pagar alguém que digitou a seed ali?

A primeira coisa que lembrei ao ver esse caso foi quando tentei baixar o software deles e veio esse aviso do Windows:

Muito complicado uma empresa de "segurança" não se preocupar com esses detalhes e agora tomar um ataque em seu site..

Exato, o pior erro que um iniciante que caiu de paraquedas no Bitcoin e no mundo cripto em geral, é ir de cara comprar uma hardware wallet, as chances de perder dinheiro são muito grandes.

Pois se um usuário não sabe a importância de uma seed phrase, ele vai guardar isso num bloco de notas do Windows (kkk) ou simplesmente não anotar/jogar fora, vai só anotar no momento da geração da wallet, pois a maioria obriga o usuário a confirmar se realmente anotou ou não... mesmo com todos essas medidas de seguranças, os usuários ou perdem os fundos ou perdem os fundos para bandidos via phishing.

Isso é verdade.. tem gente que não entende que dá pra importar a seed em outra carteira.. pensam que é uma "senha" pra essa carteira ai..

Mas o cara ali parecia estar no mercado há uns 4 anos pelas conversas que li no Reclame Aqui entre ele e a KriptoBR.. não era novato não.

Queria saber qual era a isca que tinha no site para terem caído no golpe.. difícil ver casos assim.

[joker_josue]

Eu acho que é obrigação do usuario ler o manual de instruções do equipamento.

Isso fez lembrar quando comprei carro.
Comentei com o vendedor que ia dar uma vista de olhos no manual do carro. Ele virá e disse para não fazer isso que não era preciso.

Eu nem respondi só ri... Como assim não é preciso? É um manual feito pelo fabricante por algum motivo. Posso não ler aquilo ao detalhe, mas pelo menos ter uma ideia onde estão as diversas informações, para quando for preciso ser mais fácil. E claro que foi preciso.

As pessoas deixaram de dar valor aos manuais, mas continuam a ser úteis para quem os segue.

[sabotag3x]

Novo vazamento de dados pela Ledger: https://x.com/zachxbt/status/2008139053544194545

Vazou nome, endereço, e-mail, telefone, etc. dos clientes.

O primeiro vazamento aconteceu em 2020 e é fácil encontrar relatos de pessoas recebendo cartas falsas (phishing) até hoje.

Provavelmente esses novos clientes sofrerão as mesmas tentativas de golpes.. sem falar em ataques mais pesados como sequestro, etc.

[joker_josue]

Situação muito chata mesmo. A empresa cometer o mesmo erro duas vezes é muito mau.

Já ocorreu algum comunicado oficial?

[Forsyth Jones]

Novo vazamento de dados pela Ledger: https://x.com/zachxbt/status/2008139053544194545

Vazou nome, endereço, e-mail, telefone, etc. dos clientes.

O primeiro vazamento aconteceu em 2020 e é fácil encontrar relatos de pessoas recebendo cartas falsas (phishing) até hoje.

Provavelmente esses novos clientes sofrerão as mesmas tentativas de golpes.. sem falar em ataques mais pesados como sequestro, etc.

Eu não posso ficar um dia fora que acontece alguma coisa, a ledger já é considerada praticamente um honeypot, se os caras não cuidam da própria segurança dos dados dos usuários, imagina da segurança do dispositivo, e olha que é código fechado, não há como auditar nada.

Pelo jeito a ledger vai continuar tendo esses escândalos enquanto a empresa existir... pra mim ela não é mais referência quando se trata de padrão de segurança Triple AAA. Eles tem uma equipe tão foda que explora por vulnerabilidades de segurança de seus concorrentes que é o ledger donjon.

[joker_josue]

Parece que desta vez, o problema não foi diretamente da Ledger, mas da empresa externa que estava responsável para lidar com os dados das compras. A Global-e, ou seja, poderão ter sido afetados mais serviços/dados de compras de outras empresas.

Entretanto, eles fizeram uma FAQ para ajudar a esclarecer o assunto: https://support.ledger.com/article/Global-e-Incident-to-Order-Data---January-2026

[sabotag3x]

Achei essa tierlist de carteiras de hardware:



Imagino que você vá gostar @Forsyth Jones por querer uma Coldcard Q

Ainda não parei para ver o vídeo completo, mas estou curioso para saber porque a carteira do Jack Dorsey (bitkey) está lá no final da lista..

Fonte: https://youtu.be/pGjJKOZL_zA

[bitmover]

Achei essa tierlist de carteiras de hardware:



Imagino que você vá gostar @Forsyth Jones por querer uma Coldcard Q

Ainda não parei para ver o vídeo completo, mas estou curioso para saber porque a carteira do Jack Dorsey (bitkey) está lá no final da lista..

Fonte: https://youtu.be/pGjJKOZL_zA

E que carteiras sao essas na frente da trezor? Qual o motivo?

A carteira mais testada pelo tempo...  o cara precisa de um motivo muito bom para dar uma nota tao baixa pra trezor e dar nota boas para essas desconhecidas que nem tiveram ainda o teste do tempo.

[Forsyth Jones]

Achei essa tierlist de carteiras de hardware:

Code:

[img height=793]https://www.talkimg.com/images/2026/01/07/UFHC0v.png[/img]

Imagino que você vá gostar @Forsyth Jones por querer uma Coldcard Q

Ainda não parei para ver o vídeo completo, mas estou curioso para saber porque a carteira do Jack Dorsey (bitkey) está lá no final da lista..

Fonte: https://youtu.be/pGjJKOZL_zA

E que carteiras sao essas na frente da trezor? Qual o motivo?

A carteira mais testada pelo tempo...  o cara precisa de um motivo muito bom para dar uma nota tao baixa pra trezor e dar nota boas para essas desconhecidas que nem tiveram ainda o teste do tempo.

Pois é, a Coldcard em primeiro posso até concordar, logo em seguida, Passport e Bitbox em segundo. Na minha tier list, eu deixaria a coldcard q, mais a passport e a Krux em primeiro. O resto eu não conheço.

Essa bitkey eu também não conheço.

O seedsigner também é interessante. A ledger eu provavelmente colocaria em D ou E...

[sabotag3x]

E que carteiras sao essas na frente da trezor? Qual o motivo?

A carteira mais testada pelo tempo...  o cara precisa de um motivo muito bom para dar uma nota tao baixa pra trezor e dar nota boas para essas desconhecidas que nem tiveram ainda o teste do tempo.

Ele fala que as Model One e Model T tem uma vulnerabilidade onde alguém com acesso físico a eles pode extrair as chaves privadas.. já é um grau de paranoia muito maior que o habitual.. só se o cara for multi-milionário ou tiver feito alguma merda grande para estar na mira do governo para se preocupar com isso (IMO o cara teria problemas maiores do que isso nesse cenário )

Estou vendo o vídeo aqui, ele cita que a Trezor está empurrando o SLIP-39 no lugar do BIP-39 como se fosse melhor, impondo seu uso (diz que o BIP-39 está meio escondido na geração da seed.. e ai boa sorte buscando compatibilidade dessa seed em outra carteira).. também citam a necessidade de usar o app da Trezor para configurar ela e o chip não ser 100% open-source.. basicamente é só por isso que não está mais alto na lista.

A diferença da 3 e 5 pra 7 na lista é questões de facilidade de uso mesmo (botões vs touch), nada sobre segurança.

OBS: O "PIA" que tem ali no print ao lado de cada carteira é sobre o público alvo: "Principiante, Intermediário e Avançado"

Pois é, a Coldcard em primeiro posso até concordar, logo em seguida, Passport e Bitbox em segundo. Na minha tier list, eu deixaria a coldcard q, mais a passport e a Krux em primeiro. O resto eu não conheço.

Essa bitkey eu também não conheço.

O seedsigner também é interessante. A ledger eu provavelmente colocaria em D ou E...

Também não conheço essas outras.. falam bem pouco sobre a Bitbox, só falam que é bem versátil.. vendo o vídeo eu achei o uso BEM estranho e o backup também parece muito mais complicado do que anotar as palavras, usam um microSD.. aqui tem um vídeo rápido da própria marca sobre como se usa: https://youtu.be/tQhw-QCtiyo

O site da fabricante é até melhor que essa review para comprar.. fala que elas funcionam com BIP-85, tem contas unificadas, comunicação criptografada entre app e dispositivo, suporte a Tor (Safe 5 também tem), e não é feito na França ( ) fonte: https://bitbox.swiss/bitbox02/

Está custando US$ 170 (então deve custar R$ 1.700 no Brasil)


Passport (Foundation) parece um Nokia antigão (a outra versão ali parece um smartphone pequeno com touch) e trabalha com pilhas/baterias (não entendo muito espanhol para saber o que é 'pilas').. design muito interessante, discreto e fácil de usar..

Resumo: não tem conexão por cabo (só para carregar), nem bluetooth (a versão "Nokia", a com touch tem).. vale a pena assistir esse trecho, começa em 1h56m

Ali falam US$ 199 euros (provavelmente chegaria a R$ 2.000+ no Brasil), mas no site está sem estoque.




Ali também tem um guia de preços:



Por questão de preço, funcionalidades e minha necessidade de uso, eu ainda acho que a Trezor tem o melhor custo-benefício.

[bitmover]

O seedsigner também é interessante. A ledger eu provavelmente colocaria em D ou E...

Olha, a ledger tem seus problemas (seed online, uma função opcional, vazamento de dados de emails, etc...), mas não vejo sentido em uma nota tão baixa. Acho ela melhor que a maioria.

HW serve pra proteger as moedas. Se eu não tenho certeza que as minhas moedas estão seguras, a carteira não serve. E com a ledger elas estão seguras.

Ele fala que as Model One e Model T tem uma vulnerabilidade onde alguém com acesso físico a eles pode extrair as chaves privadas.. já é um grau de paranoia muito maior que o habitual.. só se o cara for multi-milionário ou tiver feito alguma merda grande para estar na mira do governo para se preocupar com isso (IMO o cara teria problemas maiores do que isso nesse cenário )

Estou vendo o vídeo aqui, ele cita que a Trezor está empurrando o SLIP-39 no lugar do BIP-39 como se fosse melhor, impondo seu uso (diz que o BIP-39 está meio escondido na geração da seed.. e ai boa sorte buscando compatibilidade dessa seed em outra carteira).. também citam a necessidade de usar o app da Trezor para configurar ela e o chip não ser 100% open-source.. basicamente é só por isso que não está mais alto na lista.

Sinceramente, acho que esse tipo de análise mais atrapalha do que ajuda.

Análise ruim é melhor nem ler. Contamina com ideias erradas 

O cara quer reinventar a roda. BIP-39 foi um divisor de águas em cripto. É o padrão da industria.

Tem até um topico sobre isso, que a Bitcoin Core e a Electrum não usam, mas é uma discussão técnica irrelevante pra quem só quer guardar suas meodas.

[sabotag3x]

Olha, a ledger tem seus problemas (seed online, uma função opcional, vazamento de dados de emails, etc...), mas não vejo sentido em uma nota tão baixa. Acho ela melhor que a maioria.

HW serve pra proteger as moedas. Se eu não tenho certeza que as minhas moedas estão seguras, a carteira não serve. E com a ledger elas estão seguras.

Ainda não parei para ver o que eles falam da Ledger (vídeo muito longo).. mas esses vazamentos de dados é complicado, de nada adianta ser a mais segura se você tiver uma arma apontada para o seu joelho

Mas novamente.. eu acho que é uma análise mais para "multi-milionários".. para pessoas comuns como nós meio que tanto faz mesmo (ainda mais se os seus dados não vazaram).. qualquer uma ali serve e é questão de gosto/orçamento.

O cara quer reinventar a roda. BIP-39 foi um divisor de águas em cripto. É o padrão da industria.

Tem até um topico sobre isso, que a Bitcoin Core e a Electrum não usam, mas é uma discussão técnica irrelevante pra quem só quer guardar suas meodas.

Trezor usa o SLIP-39 como padrão, essa é a crítica.. https://trezor.io/slip39

Para aumentar a confusão, também são 1.024 palavras, mas não são as mesmas do BIP-39: https://github.com/satoshilabs/slips/blob/master/slip-0039/wordlist.txt (excluem coisas parecidas como all/wall/call/fall já que a lista inglesa do BIP-39 é bem ruim nesse sentido)

Não acho irrelevante.. pesquisei aqui e Electrum não importa esse SLIP-39, por exemplo.. você vai ficar refém da Trezor se usar essa porra ai.. as seeds do "jeito Electrum" também não devem funcionar em nenhum outro lugar.

edit: na verdade aceita sim, só colocar "unknown wordlist" ou algo assim que a Electrum aceita qualquer coisa.. mas ai entram outras questões, incluindo aqueles métodos de backup pelo número da palavra, etc.. acho que isso traz mais dúvidas do que segurança.

[joker_josue]

No final, quem realmente ganha dinheiro são os criadores destes equipamentos.
Tudo xpto, mas no final todos fazem o mesmo e são minimamente eficazes para 90% das situações.
Depois é tudo uma questão de gosto pessoal, ou muito dinheiro para gastar.