COLDCARD - UN DISASTRO - DA LEGGERE ASAP SE USATE COLDCARD

[Italian Panic]

Anche se con un attacco di social engenerring un attaccante riuscisse a scoprire la giusta sequenza delle prime 12 parole, cosa che trovo del tutto improbabile, non avrebbe potenza di calcolo sufficiente per trovare le restanti 11+1.

Se scegli 24 parole a caso, ma anche solamente 12 parole a caso è impossibile usare uno schema per trovare il tuo seed, anche conoscendoti. Neanche sotto tortura saresti capace di spiegare con parole ad un attaccante con quale criterio le hai scelte.

Nonostante io dica e predichi sempre l'attenzione maggiore devo ammettere che in questo periodo ne sto vedendo delle belle in merito al terrore delle seed e passphrase, questo vuol dire che pochi sono coscienti di ciò che hanno fatto e prodotto o accettato. come spesso accade poi si arriva all'esasperazione e alla ricerca della ricetta perfetta per risolvere dei problemi e questo non può che causare ulteriori problemi generati dalla fretta.
Come ho già detto, anche un semplice electrum offline, su sistema operativo live, lasciato li qualche minuto prima di avviare la creazione di un nuovo seed aggiunge una entropia enorme grazie a determinazioni a casualità assoluta e non riproducibile (tempi di risposta di porte logiche, temperature dei sistemi hardware, numero di cicli della cpu dall'accensone, coordinate dei movimenti del mouse....siamo alla fantascienza come valore entropico intrinseco.

[chinhar]

Un'alternativa più semplice, meno rischiosa ma costosa è fare un multisig 2-3 con un'azienda che conserva una delle tre chiavi e tu le altre due.
Doppio vantaggio: loro non possono accedere ai tuoi fondi senza di te ma ti fanno da backup se uno dei due tuoi wallet fosse hackerato o inaccessibile
Esempio di questo servizio Casa Vault: https://casa.io/standard
Tutto molto bello ma costa mi pare sui 2-300$ all'anno.

Non conoscevo questo sistema, costa un pochetto per chi ha pochi soldi sul wallet, sicuramente chi ne ha tanti ha un suo motivo.
Grazie a tutti per le spiegazioni, mi sono tranquillizzato parecchio.
Anche il ledger sta al sicuro o quello ha rischi per la creazione della seed? Sono solo curioso.

[Plutosky]

Per sopperire a questo tue giuste preoccupazioni non potresti semplicemente lanciare i dadi per generare la passphrase oppure aggiungere un lancio di dadi alla passphrase generata dall’HW?
Questo ti permetterebbe di avere una seed phrase con sicuramente il giusto grado di entropia ed un setup molto più “lean”.
Io ho paura che salvarsi una ulteriore passphrase di altre 12 parole sia troppo complicato e/o rischioso.

Non serve che la passphrase sia così lunga, la buona prudenza prevede da 6 parole in su ma 12 sono un'esagerazione.
La passphrase non deve avere lo stesso grado di sicurezza del seed, deve solo tutelarti nel caso in cui il firmware abbia un difetto.

Tra memorizzare 24 parole o 30-32 non ci vedo grossa differenza anche se la perdita della passphrase, a differenza del seed, rende il wallet inaccessibile quindi va custodita con particolare cura.

Il multisig è una valida alternativa, che sta diventando (e diventerà) più semplice da realizzare.

Il vantaggio rispetto al singlesig in termini di "rischi connessi alla custodia" è notevole (anche se un seed viene hackerato il wallet resta accessibile e protetto e non serve passphrase)

Io ho implementato Sparrow + 2 hw wallet e non è stato complicato.


Ho seguito alcuni tutorial in inglese ma c'è anche una guida in italiano per farlo, a chi interessa: https://www.youtube.com/watch?v=BSttgGIs-sk