Кажется меня взломали - как не потерять биткионы и не только их

[mdv 37587]

58 minutes ago, CrazyPool said:

 Вообще по логике - они обязаны предоставить компенсацию своим пользователям за свой косяк.Особенно в тех случаях когда данная проблема выливается в новостные ленты и сми.Они хоть как-то отреагировали на жалобу пользователей?

Вопрос вообще то скользкий. База мэилов и домашних адресов никакого отношения к безопасности самого аппаратника не имеет, эта инфа никаких ценных сведений для взломов не несет. Поэтому и компенсировать то собственно нечего, разве что моральный ущерб, прямого то ущерба никакого нет. Они отреагировали по своему - за любые сведения о взломщиках, которые позволят их поймать предлагают 10 битков. Я их кстати не оправдываю, это действительно косяк и подстава.

2 hours ago, Andrey39 said:

Я не думаю, что опытный пользователь будет хранить свои пароли в блокноте, потому что все мы понимаем, что хакерам взломать наш компьютер вообще не проблема, если мы где-то ошибёмся, ведь технологии уже довольно развиты, способов как взломать ПК очень много. Поэтому пароли нужно хранить или в специальной программе, которая шифрует пароли, или хранить в блокноте. В блокноте как раз таки лучше хранить секретные фразы, а пароли лучше хранить в программах))

Сиды естественно в идеальном варианте никогда, даже косвенно не должны соприкасаться с сетью. А пароли да, лучшее решение это хороший менеджер, и желательно с открытым исходником.

[CrazyPool 25796]

6 minutes ago, mdv said:

Вопрос вообще то скользкий. База мэилов и домашних адресов никакого отношения к безопасности самого аппаратника не имеет, эта инфа никаких ценных сведений для взломов не несет. Поэтому и компенсировать то собственно нечего, разве что моральный ущерб, прямого то ущерба никакого нет. Они отреагировали по своему - за любые сведения о взломщиках, которые позволят их поймать предлагают 10 битков. Я их кстати не оправдываю, это действительно косяк и подстава.

Сиды естественно в идеальном варианте никогда, даже косвенно не должны соприкасаться с сетью. А пароли да, лучшее решение это хороший менеджер, и желательно с открытым исходником.

 Дело в доверии пользователей,если злоумышленники с такой легкостью добыли базу данных кто знает что может произойти с аппаратниками в недалеком будущем? конечно это две разные вещи,но всё же.Косяк есть косяк и как не посмотри он может доставить дискомфорт если вся эта информация попадет не в те руки.
 Каждый проект перед тем как мы регистрируемся большими буквами обязывает - сохранять в секрете персональные данные и максимально защищать их в случае нарушении этого договора можно и в суд подать правда мы находимся не в той стране чтобы проводить подобные действия.

[mdv 37587]

8 minutes ago, CrazyPool said:

 Дело в доверии пользователей,если злоумышленники с такой легкостью добыли базу данных кто знает что может произойти с аппаратниками в недалеком будущем? конечно это две разные вещи,но всё же.Косяк есть косяк и как не посмотри он может доставить дискомфорт если вся эта информация попадет не в те руки.
 Каждый проект перед тем как мы регистрируемся большими буквами обязывает - сохранять в секрете персональные данные и максимально защищать их в случае нарушении этого договора можно и в суд подать правда мы находимся не в той стране чтобы проводить подобные действия.

Про доверие полностью с вами согласен, и про защиту персональных данных тоже. Кстати, скажу по секрету, что есть кое какие сомнения у криптосообщества касательно закрытого исходного кода у Леджера, у Трезора например, он открытый. Опять же, используя сильный пассфраз, или даже мультиподпись, о безопасности можно не беспокоиться - ничего абсолютно не грозит. Но все таки.)

[RedCatt 0]

34 minutes ago, Crypto_pro said:

заблокируйте вывод и всё это в настройке аккаунта на бирже йобит а так думаю на других биржах тоже есть такая функция и будете осторожнее в следующий раз 

Главное ставить 2fa аутентификацию и тогда таких проблем возникать не будет.Те,кого скамят  по большей части всегда сами виноваты в этом,нужно свои аккаунты нормально защищать чтобы таких проблем никогда не возникало и все

[fullzero 35620]

9 hours ago, mdv said:

Ясен пень, никто не захочет принимать незваных гостей. Но и ты прав, пальцем в небо тыкать вряд ли будут. Разве что случайно криминал выяснит, что где то рядом совсем обитает жирный гусь, и будет доступна точная информация, что у гуся суммы далеко не на пару штук баксов. Ну чтобы риски себя оправдывали очень хорошо.

Да уж, здесь ситуация не из лёгких. Вроде бы и сам не виноват, но теперь с оглядкой нужно ходить или надеяться, что криминал не обратит внимание на нас. 

[benzotrav 37724]

22 hours ago, fullzero said:

А как он будет функционировать без неё? В воздухе? Так это уже из разряда медицины. 

 

Если на флешке стоит защита от записи, вы на неё не сможете ничего записать. Так и в аппаратном кошельке. 

 

Как можно дистанционно взломать аппаратный кошелек, если на нем пользователю нужно нажимать клавиши физически! Они силой мысли на них нажимали. Где пруфы, как они это делали? 

Пруфы в понимании видео гайда как взломать аппаратный кошелек за 20 минут в домашних условиях без хакерских навыков или чего? Не пишите такое, учитывая тот факт, что группа этих людей потом в открытом доступе за вранье Леджера про свою неуязвимость слили в сеть эту самую уязвимость, вместо того, чтобы передать ее разработчикам за финансовое вознаграждение. Да и я бы не стал верить изготовителям при том факте, что Леджер взломан по базе данных и 270 тысяч пользователей кошелька слито в сеть и теперь верить им, что мол это подстроили дистанционный взлом или чего?)

[benzotrav 37724]

22 hours ago, mdv said:

Не дистанционно взломала, а дистанционно подписала транзакцию, на девайсе который уже был модифицирован. Вы разницу видите? Нужно физическое вмешательство.

Никакой связи этой информации с хакнутой базы, и безопасностью самого девайса. Абсолютно никакой.

И ничего леджер кстати не отрицает, если на то пошло. Ledger решили провести баунти, где за любую информацию, касаемо тех, кто совершил эту атаку и продаёт украденные данные о пользователях кошельков, они заплатят 10 BTC.

Источник - https://www.ledger.com/blog/update-efforts-to-protect-your-data-and-prosecute-the-scammers

А вот тут передергивать не нужно. Речь не идет о уязвимостях вообще, как выпытаетесь это представить. А конкретно о ваших утверждениях, где вы говорите о том, что аппаратник легко ломается дистанционно, и вирусы по юсб кабелю в состоянии это сделать. Еще раз - это сделать не возможно, без предварительного физического вмешательства, да, именно об этом и говорит криптосообщество, кроме вас, разумеется.)

Я же говорю, что вы внимательно прочтите статью. Это заявления Леджера на заявления команды людей, который этот аппаратник взломали дистанционно и заявили, что все было на дистанционном уровне и как я уже говорил - просто поменяли адрес владельца на адрес злоумышленника и забрали деньги, Леджер же заявил, что это модифицированный физически кошелек взломали, а не настоящий, на что в ответ за такое вранье слили в сеть уязвимость, вместо того, чтобы передать ее изготовителю для фикса. Ну да конечно, база данных и 270к людей слито в сеть с их электронными и физическими адресами по леджеру и это ничего тоже, да?)

[mdv 37587]

49 minutes ago, fullzero said:

Да уж, здесь ситуация не из лёгких. Вроде бы и сам не виноват, но теперь с оглядкой нужно ходить или надеяться, что криминал не обратит внимание на нас. 

Да, все так - это единственная относительно серьезная сложность. Ведь никому доподлинно не известно, сколько ты там хранишь средств, может быть миллионы. Вполне возможен вариант, что кто то когда то захочет это проверить.

[CrazyPool 25796]

2 hours ago, mdv said:

Про доверие полностью с вами согласен, и про защиту персональных данных тоже. Кстати, скажу по секрету, что есть кое какие сомнения у криптосообщества касательно закрытого исходного кода у Леджера, у Трезора например, он открытый. Опять же, используя сильный пассфраз, или даже мультиподпись, о безопасности можно не беспокоиться - ничего абсолютно не грозит. Но все таки.)

 Хм,а кто конкретно высказывался по поводу леджера и трезора? точнее делал сравнение между этими аппаратными кошельками,уверен есть люди которые ради интереса приобретали оба вида для сравнения на своём будь то канале или же блоге.Конечно на их безопасность мы можем только надеяться и положиться на разработчиков,главное чтобы не происходили подобные ситуации с утечкой 

[adakaravan324 284]

7 minutes ago, mdv said:

Да, все так - это единственная относительно серьезная сложность. Ведь никому доподлинно не известно, сколько ты там хранишь средств, может быть миллионы. Вполне возможен вариант, что кто то когда то захочет это проверить.

Я с вашими рассуждениями полностью согласен, чем больше вы будете показывать свои доходы, тем  быстрее заинтересуется вами в криминал. Тогда беды не избежать. 

[benzotrav 37724]

8 hours ago, mdv said:

Что именно должно синхронизироваться и с чем? Синхронизировать то толком нечего и нужды нет в этом никакой. Аппаратник можно вообще использовать без родного интерфейса, а юзать его через интерфейс Электрума, Эксодуса, Мэва, Метамаска, Магнума, полно интерфейсов. Да и вообще он работать может без сети, подписывая чисто транзакции. Вот вам мнение признанного спеца по кошелькам, легенда на тапке - igor72, если моего мнения маловато для вас.)

Если злоумышленник знает, какой у вас домашний адрес и какое мыло, то каким тут боком сам аппаратник? О нем вообще никаких сведений нет у третьих лиц да и быть собственно не может.

 

Интерфейс лишь обложка, база данных пользователей того же Леджера была слита в сеть из-за взлома злоумышленниками и 270 тысяч пользователей этого аппаратного кошелька теперь имеют в свободном доступе для просмотра каждого в сети их электронного и физического адреса, это не просто же база данных имен пользователей, которые купили аппаратник, не так ли?) Да и вы кажется путаете то, что бтк тапок для меня хоть и хороший источник информации, но это форум, а не книга. Сообщения писать может каждый на форуме, а вот книгу или качественный материал на ютубе и других платформах, где свободное оценивание - не каждый)

[fullzero 35620]

53 minutes ago, benzotrav said:

 Не пишите такое, учитывая тот факт, что группа этих людей потом в открытом доступе за вранье Леджера про свою неуязвимость слили в сеть эту самую уязвимость

Зачем все смешивать в кучу? Мы ведём речь о дистанционно взломе Леджера, а не про его уязвимость. Уязвимость есть во всем, но дистанционно взломать увы, не получится пока ни у кого. 

 

53 minutes ago, benzotrav said:

Пруфы в понимании видео гайда как взломать аппаратный кошелек за 20 минут в домашних условиях без хакерских навыков или чего? 

Хотя бы, ведь написать можно все, что угодно. Вот скажите мне, как понимающий человек: можно ли что-то взломать дистанционно, то есть не имея физического доступа, если нет подключения к интернету? 

 

53 minutes ago, benzotrav said:

 Леджер взломан по базе данных и 270 тысяч пользователей кошелька слито в сеть

Здесь совсем непонятно. Да, база данных слита, но как это поможет взломать кошелек дистанционно? Знаете вы адрес и фамилию человека. И что, победите к нему домой? Если да, то это уже не дистанционный взлом. 

 

Edited March 15, 2021 by fullzero

[benzotrav 37724]

7 minutes ago, fullzero said:

Зачем все смешивать в кучу? Мы ведём речь о дистанционно взломе Леджера, а не про его уязвимость. Уязвимость есть во всем, но дистанционно взломать увы, не получится пока ни у кого. 

Хотя бы, ведь написать можно все, что угодно. Вот скажите мне, как понимающий человек: можно ли что-то взломать дистанционно, то есть не имея физического доступа, если нет подключения к интернету? 

Здесь совсем непонятно. Да, база данных слита, но как это поможет взломать кошелек дистанционно? Знаете вы адрес и фамилию человека. И что, победите к нему домой? Если да, то это уже не дистанционный взлом. 

Нет, конечно нельзя дистанционно взломать устройство без доступа в сеть. Но мы ведь уже говорили о том,  каким образом подключается аппаратный кошелек к устройству владельца и по какому юсб шнуру и в какой порт) Отсюда и подключение в сеть с устройства владельца и отсюда перенос на аппаратный кошелек, как взломы на флешках бывают и вирусы там, хотя там нет доступа в сеть и операционной системы в том числе.

[arhvikt 2078]

20 hours ago, fullzero said:

Я бы не стал так делать. Где уверенность в том, что этот блогер не продаёт ссылку в качестве рекламы? А её хозяин не подсунул ему фишинг. Лучше уж у Википедии спросить. 

Ну я имел ввиду достаточно популярный обзор и блогера в том числе. Чтобы все было не один раз проверено, перед выкладкой материала. Явно крупный блогер наабум не будет вставлять любые ссылки, которые ему кидают. А в википедии ссылки можно найти только на какие то самые популярные биржи

[benzotrav 37724]

4 hours ago, CrazyPool said:

 100% проще взломать горячий кошелек ежели холодный) как показывала практика такие кошельки были самыми небезопасными в разгар первого хайпа биткоина и большая часть из них потеряла свою репутацию.Это естественно,да и аппаратный кошелек можно будет использовать с любой точки страны а места он занимает не так много (как брелок от ключей) правда стоит посмотреть на компьютер прежде чем приступать к торговле (малоли).
 Какие кстати хорошие онлайн кошельки сейчас пользуются спросом можете подсказать?) 

Понятное дело, потому-что горячий кошелек в сети интернета находится и фишинговой сайта или вируса и невнимательного пользователя уже с головой хватает себе. По этому аппаратный кошелек стоит 7500 рублей минимально, мы говорим об Леджере, другие компании же не дешевле намного не стоят, в районе 7000 рублей все и выше идет по цене в зависимости от навороченности модели, но на горячем кошельке есть ПоС майнинг а.к.а стекинг и годовые проценты с этого дела, что уже лучше финансово чем хранение на аппаратном кошельке.

[benzotrav 37724]

22 hours ago, fullzero said:

В аппаратнике нет биткоинов. Там только приватник, который подписует в блокчейне те биткоины, которые вам принадлежат. 

В аппаратном кошельке происходит подпись транзакции. После, сама транзакция, которую невозможно уже изменить, попадает в сеть. Аппаратник не контактирует с интернетом. 

Ну и как тогда аппаратный кошелек знает ваш адрес и прочие штуки и каким образом происходит то, что вы отдаете команду аппаратному кошельку на транзакцию на вывод или пополнения средств допустим? Понятное дело, что если докопаться до моих слов - аппаратник не взламывают ибо там нет ничего, но это все идет цепочкой и даже на хранении средств через аппаратник и так будет взлом и потеря средств, как я кидал уже статьи в эту ветку вам в диалоге)

[Zheka 16066]

5 hours ago, CrazyPool said:

 100% проще взломать горячий кошелек ежели холодный) как показывала практика такие кошельки были самыми небезопасными в разгар первого хайпа биткоина и большая часть из них потеряла свою репутацию.Это естественно,да и аппаратный кошелек можно будет использовать с любой точки страны а места он занимает не так много (как брелок от ключей) правда стоит посмотреть на компьютер прежде чем приступать к торговле (малоли).
 Какие кстати хорошие онлайн кошельки сейчас пользуются спросом можете подсказать?) 

Лично я до недавних пор пользовался кошельком Atomic Wallet, сейчас же можно выбрать klever или Trust Wallet, это кстати кошелёк от биржи бинанс, поэтому с безопасностью проблем вообще не должно быть. А если даже взломают кошелёк по вине самого кошелька, то деньги я думаю вернут, как это сделали на бирже бинанс. Новичкам бесполезно покупать аппаратный кошелёк потратив на него свои кровные деньги, можно обойтись обычным популярным онлайн кошельком, если знать как правильно его защищать 🙂

[fullzero 35620]

2 hours ago, benzotrav said:

Нет, конечно нельзя дистанционно взломать устройство без доступа в сеть. Но мы ведь уже говорили о том,  каким образом подключается аппаратный кошелек к устройству владельца и по какому юсб шнуру и в какой порт) Отсюда и подключение в сеть с устройства владельца и отсюда перенос на аппаратный кошелек, как взломы на флешках бывают и вирусы там, хотя там нет доступа в сеть и операционной системы в том числе.

Так аппаратник закрытая система, в него ничего не попадает, и из него ничего не выходит. Он может только транзу подписать. 

 

2 hours ago, arhvikt said:

Ну я имел ввиду достаточно популярный обзор и блогера в том числе. Чтобы все было не один раз проверено, перед выкладкой материала. Явно крупный блогер наабум не будет вставлять любые ссылки, которые ему кидают. А в википедии ссылки можно найти только на какие то самые популярные биржи

Ну, не знаю, не доверяю я блогерам. Тогда уж проверить эту ссылку и на других ресурсах. Если все ОК, тогда можно заносить в закладки. 

 

14 minutes ago, benzotrav said:

Ну и как тогда аппаратный кошелек знает ваш адрес 

Также само, как и в любом другом кошельке - генерируется сид-фраза. Но она хранится именно в самом устройстве и так сказать, наружу ей нет выхода. И даже через USB-кабель её нельзя узнать. Но если, как вы и говорили, имея физический доступ модифицировать прошивку, то есть вероятность взлома. 

[benzotrav 37724]

14 minutes ago, fullzero said:

Так аппаратник закрытая система, в него ничего не попадает, и из него ничего не выходит. Он может только транзу подписать. 

Также само, как и в любом другом кошельке - генерируется сид-фраза. Но она хранится именно в самом устройстве и так сказать, наружу ей нет выхода. И даже через USB-кабель её нельзя узнать. Но если, как вы и говорили, имея физический доступ модифицировать прошивку, то есть вероятность взлома. 

Все это громкие заголовки. Каким тогда образом его подключают к компьютеру владельца и оттуда им управляют? Это же как флешка с маленьким экраном сероватым и на этом все. Я вот хочу вывести свои средства с аппаратного кошелька, каким образом я это сделаю?) Если сделаю, а сделаю ибо очевидно же - тогда получается в аппаратник попадает заданная мной информация и запускается процесс этого вывода средств и подписывания транзы.

[kulila465 231]

5 hours ago, SM20 said:

Отличная тема для новичков, чтобы не облажаться. Насколько это возможно, я также подкину кое-что из полезной информации и из своего опыта.

Ну вообще, полезная самая информация, это не переходить на стороние сайты, чтобы точно не ошибиться. просто кидаете в закреп свой так скажем сайт(биржу) и только туда заходите

[cachexx 3999]

5 hours ago, vegorre said:

Да 2FA хорошая штука но если потеряешь или сломается телефон проблем будет довольно таки много. По этому я предпочитаю подтверждать вывод фиата через почту. По крайней мере для меня это намного удобнее. Хотя этот способ и менее надёжен чем при использовании защиты 2FA.

Разумеется все предусмотрено и не будет никаких проблем, если все делать правильно. При включении 2fa вам предлагается сохранить ключ в надежном месте - это страховка от описанного вами случая. 

[gadyushka 920]

Просто ставьте свою защиту более сильнее на аккаунт, чтобы вам везде смс доходило и тогда вас не когда не взломают и вообще не когда не украдут ваши деньги, чтобы точно вообще не пролететь не в чем

[mdv 37587]

14 hours ago, CrazyPool said:

 Хм,а кто конкретно высказывался по поводу леджера и трезора? точнее делал сравнение между этими аппаратными кошельками,уверен есть люди которые ради интереса приобретали оба вида для сравнения на своём будь то канале или же блоге.Конечно на их безопасность мы можем только надеяться и положиться на разработчиков,главное чтобы не происходили подобные ситуации с утечкой 

На тапке есть отдельно темы и по леджеру и по трезору, и даже сравнительная тема одного с другим. Шарящие ребята уже давно разобрали все нюансы и по внутренней начинке, и по программному обеспечению. Есть спецы очень высокого уровня, и все достоинства и недостатки хорошо известны для каждой модели. Даже один из них изредка заходил к нам на форум пообщаться.

8 hours ago, julsigar said:

НУ я думаю, что этот кошелек же можно пробить через блокчейн, тем самым узнаеться сколько храниться там денег, так что сейчас век интернета и все уже онлайн отрожаеться)

Все верно, посмотреть адреса можно и в блокчейне. Одно но. Каким образом узнать адреса конкретного человека, тем более адресов может быть и немало. 

[Egorious 2420]

1 час назад, gadyushka said:

Просто ставьте свою защиту более сильнее на аккаунт, чтобы вам везде смс доходило и тогда вас не когда не взломают и вообще не когда не украдут ваши деньги, чтобы точно вообще не пролететь не в чем

Бывают моменты, что при грамотной настройке они еще умудряются перехватывать эти смс с кодами от бирж или кошельков, так что не совсем гарантия.

[mdv 37587]

15 hours ago, benzotrav said:

Я же говорю, что вы внимательно прочтите статью. Это заявления Леджера на заявления команды людей, который этот аппаратник взломали дистанционно и заявили, что все было на дистанционном уровне и как я уже говорил - просто поменяли адрес владельца на адрес злоумышленника и забрали деньги, Леджер же заявил, что это модифицированный физически кошелек взломали, а не настоящий, на что в ответ за такое вранье слили в сеть уязвимость, вместо того, чтобы передать ее изготовителю для фикса. Ну да конечно, база данных и 270к людей слито в сеть с их электронными и физическими адресами по леджеру и это ничего тоже, да?)

Вы пытаетесь мне сейчас открыть Америку, но вы совершенно не в теме, к тому же приводите в пример материал практически трехлетней давности. Это давным давно обсудили уже и прошли мимо. Я могу лишь повторить то, что и раньше говорил, и всем это известно. Никакого дистанционного взлома. Аппаратник предварительно был в руках у исследователей, и благодаря модифицированному ПО, удалось подписать транзу дистанционно. Я вам говорю, так как есть на самом деле, а не так, как вы лично поняли по прочтении этой статьи. 

15 hours ago, benzotrav said:

Ну да конечно, база данных и 270к людей слито в сеть с их электронными и физическими адресами по леджеру и это ничего тоже, да?)

Что значит физическими адресами по леджеру? У леджера нет физических алресов, вы путаете - слиты домашние адреса на которые производилась доставка товара из магазина. Адреса, которые сгенерирует леджер предугадать невозможно.