COLDCARD - UN DISASTRO - DA LEGGERE ASAP SE USATE COLDCARD

[Italian Panic]

Anche se con un attacco di social engenerring un attaccante riuscisse a scoprire la giusta sequenza delle prime 12 parole, cosa che trovo del tutto improbabile, non avrebbe potenza di calcolo sufficiente per trovare le restanti 11+1.

Se scegli 24 parole a caso, ma anche solamente 12 parole a caso è impossibile usare uno schema per trovare il tuo seed, anche conoscendoti. Neanche sotto tortura saresti capace di spiegare con parole ad un attaccante con quale criterio le hai scelte.

Nonostante io dica e predichi sempre l'attenzione maggiore devo ammettere che in questo periodo ne sto vedendo delle belle in merito al terrore delle seed e passphrase, questo vuol dire che pochi sono coscienti di ciò che hanno fatto e prodotto o accettato. come spesso accade poi si arriva all'esasperazione e alla ricerca della ricetta perfetta per risolvere dei problemi e questo non può che causare ulteriori problemi generati dalla fretta.
Come ho già detto, anche un semplice electrum offline, su sistema operativo live, lasciato li qualche minuto prima di avviare la creazione di un nuovo seed aggiunge una entropia enorme grazie a determinazioni a casualità assoluta e non riproducibile (tempi di risposta di porte logiche, temperature dei sistemi hardware, numero di cicli della cpu dall'accensone, coordinate dei movimenti del mouse....siamo alla fantascienza come valore entropico intrinseco.

[chinhar]

Un'alternativa più semplice, meno rischiosa ma costosa è fare un multisig 2-3 con un'azienda che conserva una delle tre chiavi e tu le altre due.
Doppio vantaggio: loro non possono accedere ai tuoi fondi senza di te ma ti fanno da backup se uno dei due tuoi wallet fosse hackerato o inaccessibile
Esempio di questo servizio Casa Vault: https://casa.io/standard
Tutto molto bello ma costa mi pare sui 2-300$ all'anno.

Non conoscevo questo sistema, costa un pochetto per chi ha pochi soldi sul wallet, sicuramente chi ne ha tanti ha un suo motivo.
Grazie a tutti per le spiegazioni, mi sono tranquillizzato parecchio.
Anche il ledger sta al sicuro o quello ha rischi per la creazione della seed? Sono solo curioso.

[Plutosky]

Per sopperire a questo tue giuste preoccupazioni non potresti semplicemente lanciare i dadi per generare la passphrase oppure aggiungere un lancio di dadi alla passphrase generata dall’HW?
Questo ti permetterebbe di avere una seed phrase con sicuramente il giusto grado di entropia ed un setup molto più “lean”.
Io ho paura che salvarsi una ulteriore passphrase di altre 12 parole sia troppo complicato e/o rischioso.

Non serve che la passphrase sia così lunga, la buona prudenza prevede da 6 parole in su ma 12 sono un'esagerazione.
La passphrase non deve avere lo stesso grado di sicurezza del seed, deve solo tutelarti nel caso in cui il firmware abbia un difetto.

Tra memorizzare 24 parole o 30-32 non ci vedo grossa differenza anche se la perdita della passphrase, a differenza del seed, rende il wallet inaccessibile quindi va custodita con particolare cura.

Il multisig è una valida alternativa, che sta diventando (e diventerà) più semplice da realizzare.

Il vantaggio rispetto al singlesig in termini di "rischi connessi alla custodia" è notevole (anche se un seed viene hackerato il wallet resta accessibile e protetto e non serve passphrase)

Io ho implementato Sparrow + 2 hw wallet e non è stato complicato.


Ho seguito alcuni tutorial in inglese ma c'è anche una guida in italiano per farlo, a chi interessa: https://www.youtube.com/watch?v=BSttgGIs-sk

[Ultimo2]

Anche se con un attacco di social engenerring un attaccante riuscisse a scoprire la giusta sequenza delle prime 12 parole, cosa che trovo del tutto improbabile, non avrebbe potenza di calcolo sufficiente per trovare le restanti 11+1.

Se scegli 24 parole a caso, ma anche solamente 12 parole a caso è impossibile usare uno schema per trovare il tuo seed, anche conoscendoti. Neanche sotto tortura saresti capace di spiegare con parole ad un attaccante con quale criterio le hai scelte.

Nonostante io dica e predichi sempre l'attenzione maggiore devo ammettere che in questo periodo ne sto vedendo delle belle in merito al terrore delle seed e passphrase, questo vuol dire che pochi sono coscienti di ciò che hanno fatto e prodotto o accettato. come spesso accade poi si arriva all'esasperazione e alla ricerca della ricetta perfetta per risolvere dei problemi e questo non può che causare ulteriori problemi generati dalla fretta.
Come ho già detto, anche un semplice electrum offline, su sistema operativo live, lasciato li qualche minuto prima di avviare la creazione di un nuovo seed aggiunge una entropia enorme grazie a determinazioni a casualità assoluta e non riproducibile (tempi di risposta di porte logiche, temperature dei sistemi hardware, numero di cicli della cpu dall'accensone, coordinate dei movimenti del mouse....siamo alla fantascienza come valore entropico intrinseco.

Ho giusto fatto una usb con debian 13 cinnamon in questi giorni tanto per vedere come mi trovo. Per curiosità ho provato a scaricare electrum ma non ha scaricato niente. Discorso diverso per Tails con persistenza dove electrum è già dentro. A meno di non avere ectrum su usb ed usare una live per operare, forse è così che dovrei fare. Ho sbagliato qualcosa con debian?

[alexrossi]

https://www.reddit.com/r/Bitcoin/comments/1vobf3s/plot_thickens_with_coldcard_hack_no_researcher_i/


Secondo me questo é un update importante

Nessun ricercatore é riuscito ancora a ottenere i seed considerati deboli di 153 indirizzi, se continuasse cosí diventa chiaro che ci avviciniamo alla certezza di un inside job.

[xenomorfo]

https://www.reddit.com/r/Bitcoin/comments/1vobf3s/plot_thickens_with_coldcard_hack_no_researcher_i/


Secondo me questo é un update importante

Nessun ricercatore é riuscito ancora a ottenere i seed considerati deboli di 153 indirizzi, se continuasse cosí diventa chiaro che ci avviciniamo alla certezza di un inside job.

Guarda io non avevo dubbi a riguardo, puzzava troppo questa storia non ho voluto dire niente ma guarda caso su tutti i wallet e anche su tutte le versioni l'hacker è riuscito a capire le versioni deboli e fregare i soldi a tutti quanti, mi pare proprio assurdo.

[alexrossi]

https://www.reddit.com/r/Bitcoin/comments/1vobf3s/plot_thickens_with_coldcard_hack_no_researcher_i/


Secondo me questo é un update importante

Nessun ricercatore é riuscito ancora a ottenere i seed considerati deboli di 153 indirizzi, se continuasse cosí diventa chiaro che ci avviciniamo alla certezza di un inside job.

Guarda io non avevo dubbi a riguardo, puzzava troppo questa storia non ho voluto dire niente ma guarda caso su tutti i wallet e anche su tutte le versioni l'hacker è riuscito a capire le versioni deboli e fregare i soldi a tutti quanti, mi pare proprio assurdo.

Si molto probabile e resta da capire se é coinvolto direttamente il CEO/CTO o qualcuno terzo che magari non lavora piú li, e attualmente si trova in qualche giurisdizione favorevole.

[giorgione]

https://www.reddit.com/r/Bitcoin/comments/1vobf3s/plot_thickens_with_coldcard_hack_no_researcher_i/


Secondo me questo é un update importante

Nessun ricercatore é riuscito ancora a ottenere i seed considerati deboli di 153 indirizzi, se continuasse cosí diventa chiaro che ci avviciniamo alla certezza di un inside job.

io è molto che penso sinceramente che il lavoro sia stata opera di qualcuno all'interno, non si spiegano tante cose, è vero che la repository era pubblica e che tutti potevano scansionare codice, ma questa ricerca porta alla luce il fatto che nessuno è riuscito a risalire a dei semi considerati validi, quindi qualcosa non torna

[Italian Panic]

Ho giusto fatto una usb con debian 13 cinnamon in questi giorni tanto per vedere come mi trovo. Per curiosità ho provato a scaricare electrum ma non ha scaricato niente. Discorso diverso per Tails con persistenza dove electrum è già dentro. A meno di non avere ectrum su usb ed usare una live per operare, forse è così che dovrei fare. Ho sbagliato qualcosa con debian?

Electrum è quasi compatibile con debian, la differenza è che su tails è nativo (non ti serve installarlo) mentre su debian devi cercare la repository ufficiale.

Apri la consolle e scrivi:

Code:

sudo apt install electrum

Se non si avvia l'installazione è normale e vuol dire che debian mette in protezione le repository perchè mancano dipendenze, quindi devi agire via AppImage:

Code:

https://electrum.org/#download

Scarica l'AppImage più recente x86_64, ora devi renderlo eseguibile.

Nella cartella dove hai scaricato il file, apri la consolle con clic destro e scrivi

Code:

chmod +x electrum-*-x86_64.AppImage

Doppio clic e parte

Se ti da problemi, sempre da consolle installa il pacchetto libreria mancante:

Code:

sudo apt install libfuse2

Questo crea un eseguibile senza installazione diretta senza toccare le librerie debian a volte non compatibili con electrum.