Ano nga ba ang natutunan natin sa Coldcard incident?

[SatsPH]

Ano nga ba ang natutunan natin sa Coldcard incident?

Para sa akin, unang una, ito ay parang reality check. Kasi parang ang pagkaka-intindi natin ay kapag bumili na tayo ng hardware wallet at nag tago dito para sa mahabang panahon ay ligtas na tayo, hindi pala. Hindi naman ibig sabihin ay masama ang Coldcard, isa ito sa mga respetadong kumpanya. Ngunit:

- wala talagang software na 100% libre sa mga bugs
- walang hardware na perpekto at walang kahinaan.

Don't trust, but verify. Itong prinsipyo na to ay ngayon at challenge dahil sa insidenteng to. Diba ang pangaral nga ay alisin ang coins sa mga exchange at ilagay sa wallet na tayo ang may kontrol.

Kaya mapapatanong ka na lang, kung hardware wallet ang magkakaproblema tayo, masasabi ba natin na ang self-custody ang pinaka ligtas para sa atin? Kaya naiisip ko rin na ang pagbili at paggamit ng hardware wallet ay simula lamang ng mas malaking responsibilidad natin, at hindi ito ang katapusan.

Kasama sa responsibilidad na to ay ang pag-update ng firmware software at iba pa.

Iiwan ko na lang sa inyo ang mensahe ng isang biktima sa insidente na to:



https://www.reddit.com/r/Bitcoin/comments/1vcz2ce/victim_of_the_coldcard_years_of_dca_bitcoin_gone/

[julerz12]

Siguro isa rin sa mga leksyon na natutunan natin sa insidenteng ito is: don't put all your eggs in one basket.
Meaning, kung may BTC ka, lalo pa kung malaking amount na ito, paghati-hatiin mo ito at ilagay sa ilang mga hardware wallets gaya ng Trezor or iba pang mga DIY hardware wallets (preferrably yung mga open source). Pupwedeng ganitong setup: 25% sa isang hardware wallet, then another 25% naman sa isa, so on and so forth.

Karamihan kasi sa mga nababasa kong mga biktima ng insidenteng ito, ang mga BTC nila ay nakalagay sa iisang hardware wallet (coldcard). Noong na hack na sila, ubos talaga BTC nila, walang natira.
And problema nga lang sa ganitong setup is lalaki rin ang responsibilities mo in keeping all your wallets safe. But, if para naman sa safety ng BTC holdings mo, I guess, nothing is tideous and hard.
As someone who got previously hacked, I feel sympathy sa mga biktima. Grabe, nakakapanlumo 'tong pangyayaring 'to.

[blockman]

Ang sakit habang binabasa yung post na yan, ramdam ko yung emosyon sa tagal ng panahon at pagtitiis na hindi niya naisipan ibenta dahil nga looking forward sa future, mahahack lang.

Siguro isa rin sa mga leksyon na natutunan natin sa insidenteng ito is: don't put all your eggs in one basket.

Wala na akong ibang maisip na lesson kung hindi itong sinabi ni boss julerz. Ikalat nalang talaga sa iba't ibang wallets yan mapa-trezor man yan o yung iba at mga desktop wallets. Basta yung alam natin gamitin. Need pa rin mag invest sa ibang hardware wallets pero sana naman huwag na masundan itong nangyari kay cold card. Isa sa mga reputable hw tapos ganun ganun lang nangyari. 

[coin-investor]

Iiwan ko na lang sa inyo ang mensahe ng isang biktima sa insidente na to:


https://www.reddit.com/r/Bitcoin/comments/1vcz2ce/victim_of_the_coldcard_years_of_dca_bitcoin_gone/

Napakasakit nito biruin mo 3 Bitcoin na matagal mo itinago ay mawawala ng ganun ganun lang, dati pag sinabi na hardware wallet secure ka na dyan ang recommendation ng marami sa atin at isa na ako doon, sa tingin ko dahil sa nangyaring ito magkakaroon na ng pagbabago kung paano natin tinitingnan ang hardware wallets.
Hindi tayo dapat magpakampante, at tama rin yung recommendation ng mensahe ng biktima: don't put your eggs in one basket.
Sana yung mga biktima ay maka move on, bagaman mahirap need nila ito gawin para sa mga mahal nila sa buhay.

[lionheart78]

Kaya mapapatanong ka na lang, kung hardware wallet ang magkakaproblema tayo, masasabi ba natin na ang self-custody ang pinaka ligtas para sa atin? Kaya naiisip ko rin na ang pagbili at paggamit ng hardware wallet ay simula lamang ng mas malaking responsibilidad natin, at hindi ito ang katapusan.

Hindi lang naman ang hardware wallet ang pwede nating pagimbakan ng ating BTC.  Pwere rin tayong gumawa ng improvised cold storage wallet, may mga procedure sa internet kung paano ito gawin.

Isa talagang malaking challenge at risk ang pagtiwala sa mga kumpanywa na gumagawa ng hardware wallet dahil may mga insidente na nahack ang mga data ng hardware wallet company.

Despite these incidents naniniwala pa rin ako na ang self-custody ang pinakaligtas sa pag-imbak ng ating Bitcoin.

[Peanutswar]

Pinaka main point talaga dito is matuto tayong mag diversify ng assets, tulad nga ng sabi nya sa post is tulad ng ginagawa natin wag tayo mag iimbak sa exchange tapos lipat agad ng hardware pero kasi ayan ang reason bakit kailangan wag ilagay lahat ng asset sa iisang wallet kasi pag na compromise yan is ubos lahat talaga ng pera mo.

- wala talagang software na 100% libre sa mga bugs
- walang hardware na perpekto at walang kahinaan.

This is the reason why dapat nagkakaroon ng mga patch sa security updates lalo na sa mga software na gamit natin pero kasi ito is vulnerability ito ng Coldcard mismo eh hindi nila na anticipate ung security ng system nila madalas kasi as long as working pwede na iwan pero may mga ilang tao na magagaling talaga kaya mag penerate sa system.

Wala eh charge to damage na ito already, may balita ba kayo sa take action na gagawin ng cold card dito?.

[GreatArkansas]

Ito na nga yung lagi kung iniisip or may nabasa ako dati, na the more conscious ka pano gawing safe ang Bitcoin mo, dun pa siya mas mawawala pero walang mali sa pag gamit ng hardware wallet ha kasi kahit ako guamgamit nyan, hindi nga lang coldcard.

Grabi, kahit open-sourced na itong firmware ng Colcard, nangyari parin ito, like publicly available ang code for years pero yung bug na ito ay hindin a discover early pa. Sadyang nagkataon lang talaga to.

[Cointxz]

Ito na nga yung lagi kung iniisip or may nabasa ako dati, na the more conscious ka pano gawing safe ang Bitcoin mo, dun pa siya mas mawawala pero walang mali sa pag gamit ng hardware wallet ha kasi kahit ako guamgamit nyan, hindi nga lang coldcard.

Grabi, kahit open-sourced na itong firmware ng Colcard, nangyari parin ito, like publicly available ang code for years pero yung bug na ito ay hindin a discover early pa. Sadyang nagkataon lang talaga to.

Ito din yung isang downside ng open source code once may makaligtaan na bug since open book ito meaning nadaming hacker na masipag magcheck at magexploit ng mga loophople dahil nga one time big time scheme ito.

Sobrang magbibigay ng anxiety ito sa lahat lalo na yung mga hardware wallet user. 

Kahit ko napa check sa trezor ko kung okay pa mga holdings ko kahit pa matagal ko na itong hindi nabubuksan. Spread to multiple wallet talaga ang pinaka mainam na solution long term.  Sa pagkakataon na ito parang okay na dn magiwan ng part ng investment sa exchange kagaya ng Binance since may SAFU sila kaya refunded lang kung sakali magkaroon ng exploit sa wallet.

[rbynxx]

Grabi, kahit open-sourced na itong firmware ng Colcard, nangyari parin ito, like publicly available ang code for years pero yung bug na ito ay hindin a discover early pa. Sadyang nagkataon lang talaga to.

Sana ibalik yung stolen crypto kasi willing naman yung iba na magbigay ng bounty kung sakali. Yep, nakakapanlumo lang kasi open source siya pero I think sa nabasa kung post lalo na sa reddit o X na known na pala yung bug pero walang action yung Coldcard at meron pang users na nagsabi na na sweep yung wallet nila kahit kapapasok lang nung transaction at worst pa hindi sila pinakinggan at pinagsaraduhan pa ng pinto sa mga communication channels ng Coldcard.

I don't know kung may kakayahan yung Coldcard na mag compensate sa mga na hack even though we know na ipapasawalang bahala lang ito at yung mga users knsow the risk as well na there's no guarantee na maibabalik. Well, ng dahil rin sa AI kaya itong mga exploits talagang napapadali na considering meron talagang mga models na train for this kind of job. Magkakaroon talaga ako ng malamig na pawis pagkaganito ang nangyari na sweep talaga yung wallet at walang naitira.

[PX-Z]

Lesson? Only use trusted hardware wallet, fully open source with lots of code audits review including community ones tapus may bug bounty pa which is great way to identify bugs on the open source code nila on software, hardware at firmware.

Di lang Ako sure how coldcard rose to fame, maybe dahil sa "Only bitcoin," standard nila from maximalist group stance pero trezor owned its name and trust. Kaya from ledger (way back 2017) ay lumipat ako to trezor for security and safety reasons at siya din ma ire-recommend ko to anyone.