COLDCARD - UN DISASTRO - DA LEGGERE ASAP SE USATE COLDCARD

[fillippone]

Nulla di male se un utente sta tier vuole postare qui: basta dirlo.

Ma io non ho nulla contro uno straniero che vuole scrivere nella nostra sezione, ci mancherebbe, però mi pare che il requisito minimo sia parlare la lingua locale. A me non verrebbe mai in mente di mettermi a scrivere con un traduttore nella sezione indonesiana, non ha senso una cosa del genere. Vediamo se risponderanno a questo punto

Se risponderanno, ditemelo.
Sono in ignore, non vedo quello che scrivono.
Ah, ovviamente essendo in ignore non possono prendere merits. Che poi, credo sia parte dell’interesse sulla questione.

[Lillominato89]

La situazione è decisamente sospetta, ma senza prove concrete, parlare di complotto interno rimane una mera speculazione. L'indagine deve accertare come siano stati ottenuti i semi di scarsa qualità.

You're Indonesian, why are you posting in the Italian board using a translator? What's the point?

La firma multipla riduce i punti critici di fallimento, ma comporta anche costi e complessità aggiuntivi. Ledger e Coldcard dipendono ancora dalla generazione sicura della seed generation e da backup adeguati. Nessun portafoglio hardware è completamente privo di rischi. Per importi modesti, un dispositivo ben configurato con un backup offline della seed generation potrebbe essere sufficiente, mentre importi maggiori possono giustificare una configurazione multisig più robusta.

Same question for you too, you're Bangladeshi, what are you doing here?

Ti dico io perché sono qua.
Per evitare il sigban, in molti postavano esclusivamente sulla bacheca gambling facendo solo ed esclusivamente spam
Ora però stanno facendo piazza pulita e caccia alle streghe, per tanto ora li vediamo scrivere in bacheche anche di altre lingue, così evitano il sigban.
Mica fessi!
Non mi dispiace che scrivano nella nostra sezione, ma dovrebbe essere una cosa spontanea e non dettata dall'esigenza

[babo]

Ti dico io perché sono qua.
Per evitare il sigban, in molti postavano esclusivamente sulla bacheca gambling facendo solo ed esclusivamente spam
Ora però stanno facendo piazza pulita e caccia alle streghe, per tanto ora li vediamo scrivere in bacheche anche di altre lingue, così evitano il sigban.
Mica fessi!
Non mi dispiace che scrivano nella nostra sezione, ma dovrebbe essere una cosa spontanea e non dettata dall'esigenza

ah il sigban
mi pare di avere capito che il capo che gestisce le sigban e' nutildah
molto bene

quindi chi scrive solo su gambling viene zottato, ci sta tutto.. potresti anche se lo hai linkare il thread di dove si parla di questo
per completezza dell'informazione

scusa se sono rompipalle

[banana33]

Ti dico io perché sono qua.
Per evitare il sigban, in molti postavano esclusivamente sulla bacheca gambling facendo solo ed esclusivamente spam
Ora però stanno facendo piazza pulita e caccia alle streghe, per tanto ora li vediamo scrivere in bacheche anche di altre lingue, così evitano il sigban.
Mica fessi!
Non mi dispiace che scrivano nella nostra sezione, ma dovrebbe essere una cosa spontanea e non dettata dall'esigenza

Questa cosa sinceramente non mi piace, devo dire che molti se ne approfittano pensando che nessuno se ne accorga, sinceramente non è cosi, in realtà si complicano solo la vita, oltre al fatto che abbiamo anche il buon Fillippone che con il suo post mensile mette tutti i dati in bella vista, quindi non sfugge mai nulla, non ha senso che continuino, a meno che non vogliano farsi bannare.

[Lillominato89]

Ti dico io perché sono qua.
Per evitare il sigban, in molti postavano esclusivamente sulla bacheca gambling facendo solo ed esclusivamente spam
Ora però stanno facendo piazza pulita e caccia alle streghe, per tanto ora li vediamo scrivere in bacheche anche di altre lingue, così evitano il sigban.
Mica fessi!
Non mi dispiace che scrivano nella nostra sezione, ma dovrebbe essere una cosa spontanea e non dettata dall'esigenza

ah il sigban
mi pare di avere capito che il capo che gestisce le sigban e' nutildah
molto bene

quindi chi scrive solo su gambling viene zottato, ci sta tutto.. potresti anche se lo hai linkare il thread di dove si parla di questo
per completezza dell'informazione

scusa se sono rompipalle

Si è nutildah che si occupa di bannare dalle firme gli account che non rispettano certe regole.
Ora di preciso non so se scrivere esclusivamente su gambling sia un motivo per dare il sigban.
Sta di fatto che anche il modo in cui scrivi è uno dei motivi che inducono al sigban.
Ma nutildah potrebbe ovviamente se vuole, dare delucidazioni migliori.

Qui ovviamente c'è il link alla discussione con domande e risposte

Sigban q&a

[babo]

Si è nutildah che si occupa di bannare dalle firme gli account che non rispettano certe regole.
Ora di preciso non so se scrivere esclusivamente su gambling sia un motivo per dare il sigban.
Sta di fatto che anche il modo in cui scrivi è uno dei motivi che inducono al sigban.
Ma nutildah potrebbe ovviamente se vuole, dare delucidazioni migliori.

Qui ovviamente c'è il link alla discussione con domande e risposte

Sigban q&a

grazie caro
in ogni caso grazie al sistema dei merits siamo comunque abilitati ad arginare la cosa
prima dei merits era un delirio assurdo, uno di quelli modalita apocalisse

adesso ripeto, per chi non ha vissuto quel periodo, e' una roba pacifica... theymos ha avuto ragione a riguardo lo dico sempre

[Ultimo2]

Prendi l'elenco delle parole, scegli le 24 parole che ti piaccino di più o puntando il dito a caso nell'elenco e hai un seed che nessuno può riuscire trovare.

Pessima idea. Davvero.

• Se scegli le parole, stai abbassando l’ebtropia. Perché se le scegli “belle” per te, probabilmente sono “belle” anche per qualcun altro. Le parole vanno scelte in ordine casuale. La preferenza non è casuale.
  Anche scegliendole “a caso” puntando il dito, alla fine avrai statisticamente dei pattern.
• scegliendo 24 parole a caso non hai un seed valido. Puoi sceglierne 23, la 24 è deterministica.

confermo
poi magari tu scegli quelle parole per un motivo, quindi un attaccante che si studia il tuo profilo puo capire piu o meno quali parole sono quelle che ti piacciono
quindi meglio lasciare tutto al caso proprio per il motivo che dice il buon fillippone
poi ovviamente puoi fare come vuoi, e' solo per avere piu sicurezza

Ho trovato un video interessante per generare il seed in autonomia: https://www.youtube.com/watch?v=_bhVHUIrmPA

[babo]

Ho trovato un video interessante per generare il seed in autonomia: https://www.youtube.com/watch?v=_bhVHUIrmPA

piccolo appunto... ho aperto il video e zompato
benissimo offline, giusto sacrosanto
benissimo usare dadi buoni e non tarocchi di aliexpress come dice qualcuno

ma poi mi usi un SO proprietario.. tutto quello che hai detto quanto cazzo puo valere? poi ho visto un foglio di calcolo, se excel di micromerd 365 o gogle shit.. tutta l'entropia va a farsi benedire

[Ultimo2]

Ho trovato un video interessante per generare il seed in autonomia: https://www.youtube.com/watch?v=_bhVHUIrmPA

piccolo appunto... ho aperto il video e zompato
benissimo offline, giusto sacrosanto
benissimo usare dadi buoni e non tarocchi di aliexpress come dice qualcuno

ma poi mi usi un SO proprietario.. tutto quello che hai detto quanto cazzo puo valere? poi ho visto un foglio di calcolo, se excel di micromerd 365 o gogle shit.. tutta l'entropia va a farsi benedire

Hai ragione lui usa Macintosh, l’ho trovato interessante perché non conoscendo informatica e crittografia per me è una cosa nuova. Magari usando un SO diverso (Linux?) renderebbe il tutto più sicuro.

[bisasam]

Ho trovato un video interessante per generare il seed in autonomia: https://www.youtube.com/watch?v=_bhVHUIrmPA

Sicuramente lo andrò a guardare, ottima segnalazione. Abbiamo tipo una discussione dove ci sono tutti i link di tutorial, manuali e video? Secondo me bisogna aggiungere questa risorsa.
Non penso userò, secondo me dei wallet seri la creazione del wallet è sicura.

[Ultimo2]

Sicuramente lo andrò a guardare, ottima segnalazione. Abbiamo tipo una discussione dove ci sono tutti i link di tutorial, manuali e video? Secondo me bisogna aggiungere questa risorsa.
Non penso userò, secondo me dei wallet seri la creazione del wallet è sicura.

Non lo so magari c'è ma non l'ho cercata. Comunque l'idea di generare il seed da sè non è male, ci sono anche tutorial su come creare wallet multisig se sei interessato.

[alexrossi]

Sicuramente lo andrò a guardare, ottima segnalazione. Abbiamo tipo una discussione dove ci sono tutti i link di tutorial, manuali e video? Secondo me bisogna aggiungere questa risorsa.
Non penso userò, secondo me dei wallet seri la creazione del wallet è sicura.

Non lo so magari c'è ma non l'ho cercata. Comunque l'idea di generare il seed da sè non è male, ci sono anche tutorial su come creare wallet multisig se sei interessato.

Secondo me non é male ma non deve passare l'idea che sia per principianti. Il concetto di entropia su BTC é abbastanza complesso da capire subito e c'é un grosso rischio di gente che banalmente "tiri male il dado".

[Lillominato89]

Io in questi anni da crypto holter ho capito solo una cosa, credo che accomuna tutti noi.
Bisogna essere paranoici al punto giusto 
Ma anche cosi non saremmo mai sicuri al 100%.

[bitbollo]

è indubbio che non potremo mai essere sicuri al 100% perchè matematicamente vi è una possibilità su 2^160 di farti beccare 1 chiave privata.

Per spiegare la grandezza di questo numero possiamo considerare TUTTI I GRANELLI DI SABBIA del pianeta.
Se anche ciascun granello di sabbia avesse a sua volta "un altro pianeta terra" con altrettanti granelli di sabbia, saresti ancora MOOOLTO lontano dal poter contare 2^160 granelli di sabbia.
Le "collisioni" per quanto possibile, o la possibilità di generare exnovo lo stesso percorso per ottenere una chiave bitcoin sono possibili seppure implausibili. In questo numero beccare 1 indirizzo che contiene btc beh....

Questo è il problema di oggi. Vi è poco interesse a capire la dinamica e la natura di bitcoin. La sua gestione viene facilmente delegata per pigrizia, "eh loro lo fanno meglio".... che è agli antipodi di usare bitcoin in perfetta autonomia.

"è noioso lanciare i dadi" "i dadi possono essere truccati" "molto meglio usare un hardware wallet" con tanto anche di ciofecate varie "aggiungi una password alla tua chiave privata (bip39)..." --> spoiler --> la tua chiave privata esiste ANCHE senza quella password e non ti avrebbe potretto da questo hack.

Insomma siamo tornati al punto zero. TIENI I MIEI SOLDI FALLI CRESCERE, E' NOIOSO, E' COMPLICATO FALLO TU PER ME! -->
il gatto e la volpe raccontati da collodi esistono anche nel mondo reale version 3.0 decentralizzata....

[Plutosky]

la vicenda Coldcard ha fatto suonare un allarme nel settore sui rischi di exploit basati su IA.

LN è stato il più scandagliato in qualità di layer 2 (e quindi concettualmente meno sicuro).

In alcuni casi i "cattivi" sono arrivati prima (https://it.finance.yahoo.com/notizie/lo-strumento-di-pagamento-bitcoin-104016183.html ), in altri no.

Ad esempio a seguito di una revisione del codice, Core Lightning, una delle principali implementazioni LN, ha trovato alcuni bug critici che (pare) finora non sono stati sfruttati generando fix d'emergenza (https://x.com/Core_LN/status/2092755509510283423 ).

Questa situazione è un fulgido esempio del motto che ciò che non uccide fortifica, perchè il codice su cui si basa l'ecosistema Bitcoin è praticamente opensource al 100%. Quindi tutti possono vedere (ed analizzare) tutto. 

L'efficienza degli LLM nella caccia al bug è ormai consolidata. Il punto critico diventa solo chi arriva prima.

[Cassius55]

Sono stato assente ed è successo di tutto, ho letto un po in giro e devo dire che sono rimasto anche un po affascinato dai metodi che hanno usato e dalla caccia al bug. non ho un harware wallet e leggendo sul forum ho capito che convengono poco a questo punto si da troppa fiducia ad altri, mi interesserebbe approfondire come si può creare un seed e passphrase sicure perchè ora ho 4 soldi di btc ma in futuro spero si più. c'è una guida?

[alexrossi]

Sono stato assente ed è successo di tutto, ho letto un po in giro e devo dire che sono rimasto anche un po affascinato dai metodi che hanno usato e dalla caccia al bug. non ho un harware wallet e leggendo sul forum ho capito che convengono poco a questo punto si da troppa fiducia ad altri, mi interesserebbe approfondire come si può creare un seed e passphrase sicure perchè ora ho 4 soldi di btc ma in futuro spero si più. c'è una guida?

Qualsiasi guida fatta bene sul cold storage fa al caso tuo, vorrei solo allertare sul seed generato a mano: fai molte prove perché secondo me é stata fatta abbastanza facile la questione dei dadi/generazione numeri casuali e invece io ci vedo il grosso rischio di bassa entropia, in caso non si facciano le cose fatte bene.

[bitbollo]

guida per il cold storage glacierprotocol.org

Per quanto riguarda la bassa "entropia" lanciando i dadi 100 volte...  no non è affatto un rischio a meno che stai usando dei dati "falsati" o palesemente alterati (esempio magnetici).
Per quanto vi possano essere delle minime differenze nel peso della faccia dei dadi (1 punto nero ne pesa meno di 6) è praticamente impossibile riuscire a riprodurre la stessa sequenza numerica lanciando 50 o 100 volte il dado (entropia a 128 o 256 bit).

[Plutosky]

La cosa più strana della vicenda Coldcard è che è quasi certo che nel corso degli anni in cui il bug è stato in giro (5) siano avvenute delle collisioni, ovvero utenti diversi associati allo stesso wallet.

Come sappiamo il bug sui modelli più vulnerabili (Mk2/Mk3 con firmware dal v4.0.1) riduceva lo spazio di entropia a ~2^30 (poco più di 1 miliardo di combinazioni possibili), numero hackerabile con una moderna GPU in poche ore.

In crittografia, la probabilità p che si verifichi almeno una collisione tra n elementi generati casualmente in uno spazio di dimensione N è approssimata dalla formula del birthday paradox



Il che vuol dire che basterebbe che Coldcard avesse venduto 38500 wallet buggati negli anni per far salire la probabilità di avere due utenti con lo stesso seed al 50%

Non conosco i dati di vendita precisi ma l'azienda ha dichiarato in passato di averne venduti diverse migliaia.

Immaginate: vi arriva il nuovo hw wallet, lo scartate, lo configurate, copiate il seed, accedete per la prima volta....e ci trovate dei bitcoin depositati...di qualcun altro.

E' stranissimo quindi che la cosa non sia venuta fuori prima. Magari qualcuno si è pure lamentato ma lo avranno incolpato di aver fatto casino lui...