#ColdcardSeedAlert

Cea mai frecventă întrebare pe care o primesc acum, în urma știrilor că COLD CARD MK3, MK4, MK5 și Q au compromis entropia este: "Rob, ce ai face acum dacă ai fi în locul meu? Unde ți-ai trimite bitcoin-ul ca să fii în siguranță?" Vă voi împărtăși lista mea cu ce aș face, dar mai întâi, există O AVERTIZARE URGENTĂ DE SECURITATE ÎN ECOSISTEMUL BITCOIN. Mai jos este evaluarea mea personală a situației. Dacă tu sau cineva pe care îl cunoști: Folosește un MK3, MK4, MK5 sau Q într-o singură semnătură SAU Un portofel multi-semnătură unde dispozitivele cu carduri reci pot muta fondurile singure (de exemplu, 2 carduri reci și un Ledger). Te rog să continui să citești. S-ar putea să fii în pericol. Dacă acest lucru nu ți se aplică, continuă să citești dacă vrei, dar nu ești afectat de această problemă. Dacă ești încă aici, există trei măsuri identificate de atenuare care te protejează în acest moment. Toate sunt forme diferite în care poate ai adus propria ta entropie. R: ZARURI - Acest lucru se face fie prin aruncarea zarurilor de la început, fie prin adăugarea aruncărilor de zaruri la fraza sămânță generată. Cel puțin 50 de aruncări de zaruri ar fi pragul meu la 128 de biți de entropie. SAU B: PAROLA - Ai folosit o parolă cu entropie suficientă (128 biți). 128 de biți de exemple de fraze de acces pentru entropie includ combinații ALEATORII ale următoarelor: - 12 Cuvinte semințe BIP 39. - 10 cuvinte comune în limba engleză - 25 de litere mici și numere mixte - 20 dacă folosești caractere ASCII Notă despre fraze de acces: Aceasta nu include același cuvânt de 12 ori, 10 cuvinte dintr-o propoziție etc. Această combinație de caractere/numere SAU cuvinte nu ar fi trebuit niciodată văzută sau rostită înainte în totalul tuturor cunoștințelor și experiențelor umane. Trebuie să fie ALEATORIU ca să fie entropie. SAU C: ENTROPIE EXTERNĂ - Fraza ta sămânță a fost derivată complet din afara ecosistemului cărților reci. (A fost importat pe cardul rece, nu generat pe el) Acum, dacă încă citești și nu ai niciuna dintre aceste măsuri de atenuare, trebuie să-ți muți fondurile. Urgența circumstanțelor este următoarea: NIVELUL 1: CÂT MAI CURÂND POSIBIL Scenariul A: Dacă folosești un portofel de semnături cu un dispozitiv afectat și nu ai folosit niciuna dintre atenuările enumerate mai sus. Trebuie să muți fonduri chiar acum. Găsește pe cineva care să te ajute, oricând banii tăi pot fi furați. Scenariul B: Dacă ai un N de N (de exemplu 2 din 2, 3 din 3 etc.) format doar din dispozitive cu plăci reci care nu au avut atenuări enumerate mai sus (zaruri și/sau parolă). Atacatorii vor grinda toate combinațiile de taste compromise. Ei știu toate frazele tale de sămânță. Ești compromis. Este doar o chestiune de timp până să asambleze piesele puzzle-ului și să vă fure fondurile. Dacă este cazul tău, voi detalia mai jos cum să reduci riscul atunci când îți difuzezi tranzacția. NIVELUL 2: URGENT Dacă ești într-un portofel cu o singură semnătură și un dispozitiv afectat și ai folosit fie mai puțin de 50 de aruncări de zaruri, fie o frază de acces mai puțin sigură decât cea pe care am împărtășit-o mai sus. Întreaga securitate a bitcoinului tău depinde de cât de mult Dice ȘI Password ai aplicat portofelului tău. Atacatorii cunosc fraza ta sămânță. Entropia ta față de zaruri sau fraze de acces este singurul lucru care te protejează. Ai adăugat o expresie de acces "bitcoin"? Practic ești în nivelul 1. Ai folosit 6 cuvinte? Nu ești la nivelul 1, dar nu ești în siguranță. Trebuie să faci planuri pentru a muta fonduri rapid. TIER 3 ÎN CURÂND, DAR CONTEXT IMPORTANT: Ai un portofel multi-signature unde dispozitivele compromise au suficientă capacitate de a muta fondurile. Un exemplu este un 2 din 3 multisig unde ai 2 carduri reci și un alt semnatar. Problema cu Tier 3 este că un atacator ar fi putut deja să fi descoperit frazele tale seed nesigure. Aceasta înseamnă că atunci când îți transmiți tranzacția bitcoin, un atacator teoretic îți poate fura fondurile. NOTĂ: DACĂ TE AFLI ÎN ACEASTĂ SITUAȚIE ȘI AI ADRESE REUTILIZATE, TOATE ADRESELE REUTILIZATE TE PLASEAZĂ IMEDIAT ÎNAPOI LA MUTAREA TIER 1. FONDURILE TALE SUNT ÎN PERICOL CHIAR ÎN ACEST MOMENT Ar trebui să cauți o modalitate de a folosi serviciul @MARAFoundation_ slipstream, care folosește un mempool privat. Asta înseamnă că, până când un atacator poate vedea încercarea ta de recuperare, aceasta este deja blocată și nu mai poate fura fonduri. NIVELUL 4: ROTAȚIE CHEIE. Aici ai un card rece nesigur în cvorumul tău multisig și știi că celelalte chei din cvorumul tău nu sunt afectate de acest bug. Dacă există un MK3, MK4, MK5 sau Q în cvorum, DAR ei fie: 1. Au aruncat suficiente zaruri (50 min) 2. Să ai o frază de acces puternică (așa cum este definit mai sus). 3. A folosit entropie neprovenită de la dispozitiv, nu este afectată de acest bug din Cold Card (vezi notele de mai sus despre atenuări). Ești într-o poziție în care o minoritate dintre cheile tale sunt compromise. Fondurile sunt sigure, dar ești la o securitate redusă. Fă planuri când vei putea scoate dispozitivul compromis din portofel. Acum. Odată cu acest avertisment de securitate, să revenim la întrebare: ce aș face în această situație? Mai jos este doar părerea mea, dar nu ar trebui să te bazezi doar pe opinia mea, va trebui să-ți faci propriile alegeri în funcție de ceea ce simți că este cel mai bine pentru tine. Vreau să fiu clar, dacă nu ești pe această listă. Nu este vorba că aș crede că produsul/afacerea ta este rea, nesigură sau în pericol, răspund direct la întrebarea ce aș face eu. Aceasta este judecata mea personală, având în vedere zece ani de experiență în bitcoin. Mai întâi, o precizare: Bitcoin-ul meu este la compania mea @AnchorWatch. Am un rol complet în joc, în sensul că dacă ofer o soluție de custodie, nu va mai exista niciodată un alt loc unde să depozitez cantități mari de bitcoin pe termen lung pentru mine sau familia mea, și așa va fi cât timp voi fi aici. Am fost primul bitcoin care a intrat pe platforma noastră Trident Vault. Dacă va veni vreodată ziua, voi fi ultimul bitcoin care va părăsi platforma. Anii pe care i-am construit la AnchorWatch au fost exact pentru momente ca acesta. Evitarea riscului catastrofal de distrugere. Oferim 2 produse: 1. Produsul nostru de top, unde tu, ca client, poți deține 1 sau 3 chei, iar noi acționăm ca co-semnatar. Folosim contracte inteligente native bitcoin, care permit ca bitcoinul tău să aibă diferite moduri în care poate fi cheltuit de-a lungul timpului. 2. Custodie Multi-Instituție, unde vă permitem să distribuiți cheile între 3 instituții ale noastre, @bitgo și @CoinCorner. 2 dintre cele 3 instituții trebuie să aprobe tranzacția, iar tu trebuie să prezinți o semnătură Yubikey înainte de retragere pentru a reduce deepfake-ul și conturi compromise. Pentru ambele produse, deoarece suntem co-semnatari, putem aplica reguli precum adresele pe lista albă și controlul vitezei (cât bitcoin poți trimite și cât de des). Poți chiar să dezactivezi butonul de trimitere pe platformă dacă dorești! Oferim, de asemenea, asigurări 1:1 susținute de Lloyd's of London. Dacă vrei să afli mai multe despre ceea ce facem, accesează @_joerodgers sau @BeccaAmilee pentru a afla mai multe sau vizitează site-ul nostru. Acum că am clarificat asta, locurile unde aș lăsa bitcoinul meu (în afară de @AnchorWatch) fără o ordine anume: Custode: Aș avea încredere în economiile mele de-o viață @River în situații de presiune. Acesta este unul dintre acele momente. @Leishman și întreaga echipă de la River sunt operatori de elită. Este afacerea mea preferată de servicii bitcoin de pe piață în prezent, în afară de a mea. Ei dețin propria infrastructură de custodie, iar în astfel de momente, vrei pe cei care dețin un control extrem asupra modului în care sunt gestionați banii clienților lor. @River face lunar dovada rezervelor și poți activa funcția de câmp de forță care va îngheța retragerile de bitcoin. Au o echipă de custodie de clasă mondială și fac îmbunătățiri regulate, cu o modernizare mai amplă, planificată de mult timp, care va avea loc mai târziu anul acesta. Custodie colaborativă: 1. The @Bitkey este un produs incredibil, cu o echipă de elită de ingineri susținută de organizația @BlockEng. Au dezvoltatori excepționali de bitcoin în @spiral_xyz și @CashApp echipe care înțeleg profund Bitcoin. @jack a fost un susținător de mult timp al bitcoinului care a construit o organizație fără egal în resursele pe care le au, nu doar că înțeleg bitcoin, ci și construiesc pe bitcoin. Poți să-l iei de la un Bitkey de la Best Buy chiar azi! Vreau să adaug o precizare că toate cheile sunt gestionate în cadrul ecosistemului Bitkey. Echipa Bitkey a depus eforturi mari pentru a menține situația în siguranță, dar în lumina evenimentelor recente, vreau să subliniez acest lucru. În acest moment, Bitkey este singura mea excepție de la idealul purist al multi-vendor multi-sig (mai multe detalii mai jos). 2. @CasaHODL - @Nneuman și @lopp au fost la curent cu acest răspuns la incidente și au construit o experiență de utilizare foarte curată pentru ca oamenii să fie în siguranță. Poți folosi fie un multisig 2 din 3, fie un 3 din 5 cu o aplicație mobilă excelentă. Casa este cel mai bun UX pentru multisig colaborativ suprem existent pe piață astăzi. 3. @uncahined - Unchained a fost pionier în modelul de custodie colaborativă și în modelul de custodie multi-instituție. Au lucrat non-stop încercând să sprijine clienții și chiar au reușit să folosească slipstream-ul pentru a face un efort suplimentar pe termen scurt pentru a menține bitcoinul clienților în siguranță. Custodie proprie: Am cheltuit aproape 5.000$ pe tokenuri LLM în ultimele 24 de ore, scanând peste o sută de depozite legate de bitcoin. Până acum, nu am observat nicio vulnerabilitate care să mă îngrijoreze în legătură cu vreun dispozitiv hardware în afară de Cold Cards. Chiar și așa, nu poți fi sigur. Așadar, aș urma @mflaxman "Ghidul de securitate Bitcoin 10x". Așa am deținut bitcoinul înainte să fondez @AnchorWatch, și chiar dacă ghidul are 6 ani, principiile sunt atemporale. Aș elimina sugestia lui de a folosi cardul rece și l-aș înlocui cu orice alt portofel hardware. Aș înlocui cardul rece cu un @Ledger în acest moment, dacă ar fi decizia mea. Poți cumpăra un Ledger de la Best Buy în SUA. Michael a fost pionierul conceptului multi-vendor multisig, iar dacă vrei o soluție complet suverană, în prezent nu există un model mental mai bun despre cum să gândești acest lucru, el are tab-uri avansate pentru a crește și mai mult securitatea. Pentru ghidul său de cărți reci, el menționează pe bună dreptate beneficiul suplimentar de a arunca zarurile, care te-ar fi salvat astăzi. Cred că viitorul este să combinăm tehnologia pe care o folosim la @AnchorWatch pentru a depăși paradigma de custodie cu semnătură unică/multi-semnătură, cu principiile ghidului de securitate 10x de la @mflaxman și sprijinul custodiei colaborative. Mai multe despre asta mai târziu, dar aș verifica și @lianabitcoin de la @Wizardsardine, ei oferă un portofel complet open source care permite aceste contracte inteligente mai avansate și sunt cercetători în securitate în ecosistemul bitcoin. Cu asta, mă întorc la muncă. Voi posta un răspuns suplimentar dacă am informații suplimentare sau orice corecturi sau clarificări de făcut.