Discussão geral sobre Hardware wallets

[joker_josue]

Possível vulnerabilidade gigante nas Mk3 da Coldcard: https://blog.coinkite.com/coldcard-mk3-seed-generation-warning/

Então mas qual é a vulnerabilidade?

Eu ainda tentei procurar mas não encontrei nada. O link apenas apresenta soluções de mitigação para quem tem o Mk3.
Realmente a coisa parece grave, mas não consegui perceber o motivo.

Alguém encontrou mais alguma coisa?

[sabotag3x]

Alguém encontrou mais alguma coisa?

O texto fala que os usuários podem gerar uma nova seed na própria mk3 usando dados, com mínimo de 99 rolagens, para mover os fundos para um novo endereço.. então o problema é no gerador deles.

Até poucas horas atrás, o fundador da empresa estava falando que era FUD.. mas como muita gente deve ter entrado em contato (possivelmente relatando que usaram o gerador da carteira, com o firmware entre essas versões), então o bug deve estar ali, mas nem eles sabem ainda o que aconteceu.

[Forsyth Jones]

Sobre o que aconteceu com a coldcard, foi um absurdo, a falha havia sido mencionada em 2021, 5 anos atrás (mais info nessa matéria livecoins).

Eu só não comprei a coldcard q por medo de importar e chegar com quase 200% de imposto pra ir pra bolso de político filho da puta, o mesmo vale para a Passport Prime.

5 anos essa falha ficou exposta e ninguém notou, o que me faz pensar: e as possíveis falhas que as hardware wallets de outras marcas podem ter com esse uso incessante de IA revirando os códigos dessas carteiras 24h por dia? O caso com a coldcard foi um completo absurdo, os caras falharam no básico: gerar uma carteira segura.

Estou pensando que o melhor a ser feito é montar uma Krux ou pegar meu pc velho, tirar as placas de rede e fazer dele um airgapped.

[joker_josue]

Estou pensando que o melhor a ser feito é montar uma Krux ou pegar meu pc velho, tirar as placas de rede e fazer dele um airgapped.

No meio disso tudo o problema foi na geração da wallet. Não importa se é o seu PC velho offline, ou uma software qualquer. A falha foi na criação da wallet.

Esse Krux é que muitos maxis mais geeks estão a começar a usar. Mas, ele não funciona com Electrum, por isso ainda não explorei a fundo.

No final, o que é recomendado é a pessoa espalhar os seus fundos por varias wallets, sejam via hardware ou software.
^{Por falar nisto, tenho de rever todas as minhas wallets e organização de fundos.}

[sabotag3x]

Sobre o que aconteceu com a coldcard, foi um absurdo, a falha havia sido mencionada em 2021, 5 anos atrás (mais info nessa matéria livecoins).

Esse cara parece um psicopata.. a primeira coisa que ele fez foi excluir tuítes (destruir provas).. aqui tem uma conversa de hoje sobre o assunto: https://www.reddit.com/r/Bitcoin/comments/1vfxsv0/whats_coldcards_ceo_doing_during_an_emergency_hes/

Quanto mais você olha os tuítes dele, mais percebe esse comportamento transtornado.

Aqui tem outro post de 2020 onde ele fala sobre esse retirement attack.. por enquanto ainda não pagou:

Acho mais provável que as pessoas acabem perdendo seus próprios BTC por erro delas mesmas antes que algum fabricante tente um ataque de aposentadoria.

Ou então as pessoas podem simplesmente usar dados

Prefiro que isso não seja algo trivial. O processo de geração e proteção das chaves para um hodl de longo prazo deve ser algo que as pessoas aprendam e façam com calma. Acho que nós dois concordamos que ninguém deveria confiar no gerador de números aleatórios (RNG) do fabricante; só temos preferências diferentes sobre a solução. Eu apenas acho que as pessoas vão acabar cometendo erros ao gerar a própria entropia.

edit:

Estou pensando que o melhor a ser feito é montar uma Krux ou pegar meu pc velho, tirar as placas de rede e fazer dele um airgapped.

Tenho más notícias para você parece que o atual mantenedor está abandonando tudo:

Momentos desafiadores exigem decisões estratégicas. Aplicações sensíveis à segurança demandam manutenção intensiva em todas as camadas, da cadeia de ferramentas (*toolchain*) à interface do usuário (UI). O hardware do Krux chegou ao fim natural de seu ciclo de vida: os chips K210 não são mais fabricados e, no ano passado, a Canaan — fabricante desses chips — descontinuou completamente a linha Kendryte, incluindo os sucessores do K210.

Tenho mantido um número excessivo de repositórios e precisarei priorizar aqueles que considero mais preparados para o futuro e mais relevantes para a comunidade Bitcoin a longo prazo. O Krux não foi criado por mim: o Jeff iniciou o projeto e o passou para mim; agora, é a minha vez de passar o bastão.

O Krux poderá ter sua continuidade assegurada por outro mantenedor, caso um colaborador do projeto — com histórico comprovado de contribuição (*proof-of-work*) — aceite assumir essa função. Nesse caso, será realizada uma transição tranquila.

Caso contrário, o projeto Krux entrará em fase de encerramento e será arquivado de forma ordenada dentro de alguns meses.

Enquanto isso, como comunidade, vamos percorrer esse processo juntos, buscando o que há de melhor na autocustódia do tipo faça você mesmo.

[joker_josue]

Tenho más notícias para você parece que o atual mantenedor está abandonando tudo:

Acho que iriemos ver outros projetos mais pequenos fazerem o mesmo.

Apos este caso, todos ficaram conscientes que existe mais riscos para além do comum roubo de seed ou acesso físico ao equipamento.
Os riscos, podem não compensar todos os esforços.

Daqui a um mês a Coldcard vai ter montes de processos em tribunal para começar a se preocupar.

Este setor, leva muito a serio este tipo de casos. Se a Ledger "só" teve problemas com a fuga de dados de moradas, já são visto com maus olhos, imaginem agora a Coldcard e toda a equipa envolvida no projeto. Vão ter red flag para o resto da vida... ou quase...

[Forsyth Jones]

Tenho más notícias para você  parece que o atual mantenedor está abandonando tudo:

De acordo com esse tweet, ele (odudex) vai focar em outro projeto que também é relacionado a hardware wallet DIY chamada Kern que tem suporte em dispositivos como o ESP32-P4 que são superiores aos atuais K210 suportados pela Krux (pois a própria fabricante declarou que vai encerrar a produção desses aparelhos, semelhante ao que aconteceu com o maix amigo).

@YTCryptoGuide
 perfectly captured the current state of Kern development in this video.
He also shows how you can easily join us in exploring the exciting possibilities Kern and ESP32-P4 bring to the DIY signing devices space.

É o que parece, vamos ver se será isso mesmo.

[Forsyth Jones]

Conheçam a CatCard, um firmware alternativo open source para o firmware principal da coinkite.

Criaram um firrmware open source para a coldcard, escrita em Rust totalmente do zero, ainda está em fase experimental, o tweet com mais detalhes e o link do github do projeto estão aqui:

https://x.com/MagicalTux/status/2100565962638704758

https://github.com/TibaneLabs/catcard

Tem até joguinho (flappy cat, gatinho voador) haha

Vou quotar uma discussão que já existe no forum:

Coldcard is dead. Long live the Catcard!

   

Fiquei sabendo por meio dessa citação que  vai ter até versão multi-moedas além do Bitcoin haha, se for pra frente esse projeto, as pessoas vão confiar mais nesse firmware alternativo do que na própria empresa e no louco do nvk.

Deu até vontade de ter uma coldcard agora...

Será que a cold_hack tem salvação?

[joker_josue]

Para usar como wallet, duvido que alguem queira usar.

Agora, como peça para brincar e pela piada, podem surgir mais projetos como este.

[alexrossi]

Para usar como wallet, duvido que alguem queira usar.

Agora, como peça para brincar e pela piada, podem surgir mais projetos como este.

eu acredito que depois da primeira mancada nem sw open novo possa salvar a reputacao daquele hw wallet

e agora eu acho que a atenção vai ser muito maior nos proprios sw cold storage independentes de hw especifico

[rdluffy]

No outro fórum postaram um tweet da Coldcard do dia 04 de Setembro


https://x.com/COLDCARDwallet/status/2096007685850222853

Alguém consegue acreditar nesses caras?
Me recuso a acreditar que tem gente comprando essa carteira ainda, não é possível

[TryNinja]

No outro fórum postaram um tweet da Coldcard do dia 04 de Setembro


https://x.com/COLDCARDwallet/status/2096007685850222853

Alguém consegue acreditar nesses caras?
Me recuso a acreditar que tem gente comprando essa carteira ainda, não é possível

Não duvido.

Sendo totalmente racional com os fatos, você pode não confiar mais neles por conta do grande erro que existia na carteira, ou pela forma que eles trataram todo o caso…

Mas se a carteira funciona bem, e não existem outros problemas, meio que tanto faz usar.

Até então o problema foi apenas na forma como a seed era gerada, certo? Mas o dispositivo guardava a seed com maestria, da mesma forma que ele fazia as transações sem problemas.

Fora que o público entra no mercado crypto e vai vendo videos antigos recomendando carteiras. Muitos não sabem  do que aconteceu.

[sabotag3x]

Sendo totalmente racional com os fatos, você pode não confiar mais neles por conta do grande erro que existia na carteira, ou pela forma que eles trataram todo o caso…

Mas se a carteira funciona bem, e não existem outros problemas, meio que tanto faz usar.

Até então o problema foi apenas na forma como a seed era gerada, certo?

Olha, reviraram tantos tweets antigos suspeitos que é muito difícil confiar que não tenha outros problemas.. é uma falta de profissionalismo gigante.. não sei como isso nunca chamou atenção antes de dar merda.. você deixaria suas economias numa carteira deles? ou gastaria US$ 50 para comprar uma carteira de outra marca?

No outro fórum postaram um tweet da Coldcard do dia 04 de Setembro


https://x.com/COLDCARDwallet/status/2096007685850222853

Alguém consegue acreditar nesses caras?
Me recuso a acreditar que tem gente comprando essa carteira ainda, não é possível

O único jeito de saber seria entrando em contato com esses revendedores.. aqui no Brasil, que eu saiba, não tem nenhum.

Será que estão comprando como se fosse uma recordação? ou realmente vão usar?

[Forsyth Jones]

Para usar como wallet, duvido que alguem queira usar.

Agora, como peça para brincar e pela piada, podem surgir mais projetos como este.

Se eu tivesse uma eu aderia ao catcard, pra playground e vê as possibilidades, não dá pra negar que é um device incrível, uma pena a impresa ser irresponsável.

Mas quem sabe, com essa iniciativa, não surja uma fabricante independente e crie um novo device baseado no coldcard Q, com todos os recursos, vulnerabilidade TRNG corrigida é claro, e opções bitcoin-only e bitcoin-altcoins edition, seria uma maravilha, e parece que é o que esse novo projeto está tentando reviver.

Olha, reviraram tantos tweets antigos suspeitos que é muito difícil confiar que não tenha outros problemas.. é uma falta de profissionalismo gigante.. não sei como isso nunca chamou atenção antes de dar merda.. você deixaria suas economias numa carteira deles? ou gastaria US$ 50 para comprar uma carteira de outra marca?

No outro fórum postaram um tweet da Coldcard do dia 04 de Setembro


https://x.com/COLDCARDwallet/status/2096007685850222853

Alguém consegue acreditar nesses caras?
Me recuso a acreditar que tem gente comprando essa carteira ainda, não é possível

O único jeito de saber seria entrando em contato com esses revendedores.. aqui no Brasil, que eu saiba, não tem nenhum.

Será que estão comprando como se fosse uma recordação? ou realmente vão usar?

Cara, se o firmware é codigo aberto beleza, mas as peças, os secure element no dispositivo podem ser reproduzíveis ou analisados, alguma forma de transparência? Ou seja, o quanto de peça operante nele pode ser verificável, alguém saberia dessa informação?

[joker_josue]

Mas, eles chegaram a enviar provas que isso era mesma verdade? Algumas pessoas pediram essa informação.

O que o TryNinja disse é validado, mesmo assim, tem de haver revendedores que estejam a comprar. Os revendedores sabem claramente da historia, não sei se estariam dispostos arriscar ter um produto a venda, que poderia ser facilmente devolvido.

[TryNinja]

Mas, eles chegaram a enviar provas que isso era mesma verdade? Algumas pessoas pediram essa informação.

O que o TryNinja disse é validado, mesmo assim, tem de haver revendedores que estejam a comprar. Os revendedores sabem claramente da historia, não sei se estariam dispostos arriscar ter um produto a venda, que poderia ser facilmente devolvido.

Eu acho que é verdade, outra conta falou que muitos estão pedindo pra comprar deles.

https://x.com/bitcoinbazar21/status/2096265961481343128

We have lots of requests too, we are still selling some to people in DMs who acknowledge that they know what they are doing.

My only fear if that these people try to trick poor newbies with the broken firmware. But Mk4/5 and Q are not so easy to break so it would be strange to try such a trick. There are easier ways of scamming normies.

Anyway sell them with a disclaimer and don't ship without a written acknowledgement and and it should be fine.

Até mesmo falando que eles sabem o que estão fazendo e querem comprar mesmo assim.

[joker_josue]

https://x.com/bitcoinbazar21/status/2096265961481343128

We have lots of requests too, we are still selling some to people in DMs who acknowledge that they know what they are doing.

My only fear if that these people try to trick poor newbies with the broken firmware. But Mk4/5 and Q are not so easy to break so it would be strange to try such a trick. There are easier ways of scamming normies.

Anyway sell them with a disclaimer and don't ship without a written acknowledgement and and it should be fine.

Até mesmo falando que eles sabem o que estão fazendo e querem comprar mesmo assim.

Pois... Acho que eles meio que perceberam o que pode estar acontecer.
Nem precisam de criar nenhum tipo de firmware diferente, é só garantir que o firmware com problemas está instalado.

Enfim, sinceramente, eu acho estranho. Quem esta a pedir isso, sabendo o que aconteceu, terá alguma na manga.