Кажется меня взломали - как не потерять биткионы и не только их

[CrazyPool 25796]

22 hours ago, mdv said:

Ну пока не требуют, не знаю, может быть в будущем и начнут делать такие заморочки, трудно сказать.)

Да, все верно. Но нужно заметить, что кроме сида обязательно еще и пассфраз использовать, это в разы надежней.)

Ну леджер базу то магазинную со списком клиентов профукал, гуляет теперь по сети. Не критично пока что, но очень не приятно. В старшей модели сенсорный экран и чуть больше поддерживаемых монеток, ну это так в двух словах.

 Так они ещё и как-то базу данных с электронными почтами умудрились слить,где их создавали я вообще без понятия) Ладно хоть защиту не трогают а только персональные данные хотя кто знает как это может аукнуться в будущем.
 В общих чертах понял,только толку от сенсорного экрана? разве что излишнее удобство

[mdv 37587]

7 minutes ago, CrazyPool said:

 Так они ещё и как-то базу данных с электронными почтами умудрились слить,где их создавали я вообще без понятия) Ладно хоть защиту не трогают а только персональные данные хотя кто знает как это может аукнуться в будущем.
 В общих чертах понял,только толку от сенсорного экрана? разве что излишнее удобство

Ну это единая база покупателей, там и мыло, и адрес доставки с фамилией, и информация, чем человек расплачивался. Я лично вижу как может аукнуться  - это куча спама в ящике с фишинговыми ссылками - это опасновато для людей мало шарящих. И маловероятный, но очень неприятный нюанс - могут и по домашнему адресу нехорошие люди в гости пожаловать. 

От сенсорного экрана толк небольшой все же есть, но не уверен, что за это стоит переплачивать, младшая модель ничуть не хуже.

[Santos2002 7635]

45 minutes ago, fullzero said:

Да, тут все зависит от человека, то есть владельца кошелька. Всегда же есть возможность забыть о том почтовом ящике. Правда, если к нему ничего важного не подвязано. 

 

KYC - это такое дело. Многие проходят его из-за того, что надеются получить неплохие средства за это во многих проектах. Я раньше бывало тоже KYC проходил, не зная азов безопасности. Теперь поздно об этом думать. Хотя не факт, что до этого наши данные не были слиты в сеть. 

Лично я прохожу КУС только на топовых проектах. Не хочу лишний раз подвергать свои данные опасности. Хотя даже если их и сольют, это не так страшно, как может показаться.

[Zheka 16066]

6 hours ago, mdv said:

Если мы о Леджере говорим, то да, помимо функций самого кошелька и широкой возможности использования пассфраз, имеется и такая функция, и кстати зря вы ей не пользуетесь, это намного безопасней обычной двухфакторки, плохо, что маловато еще сервисов ее поддерживают. Есть еще функционал менеджера паролей, но мне он откровенно говоря не очень нравится. Аппаратник по многим параметрам штука классная.)

Да у меня 2фа просто ведре установлена, на то, чтобы отключить её на всех проектах уйдёт очень много времени. Поэтому пока обойдусь без этого. Но защита очень хорошая, для держателей крупных сумм такая защита вполне подойдёт, но 2фа очень редко обходят, поэтому пока что не вижу смысла переходить на U2F 🙂

[mdv 37587]

2 minutes ago, Zheka said:

Да у меня 2фа просто ведре установлена, на то, чтобы отключить её на всех проектах уйдёт очень много времени. Поэтому пока обойдусь без этого. Но защита очень хорошая, для держателей крупных сумм такая защита вполне подойдёт, но 2фа очень редко обходят, поэтому пока что не вижу смысла переходить на U2F 🙂

Не, ну то такое, прям везде можно и не менять, да и сервисов, которые поддерживают такую авторизацию еще как бы маловато. Но я бы сто процентов применил бы на джимэйловские почты, те, которые привязаны к биржам, на Бинанс бы обязательно подвязал как минимум. Ну а так то дело ваше конечно.

[mdv 37587]

3 hours ago, fullzero said:

Да, тут все зависит от человека, то есть владельца кошелька. Всегда же есть возможность забыть о том почтовом ящике. Правда, если к нему ничего важного не подвязано. 

Ну про ящик конечно забыть можно, не вопрос. А как заставить заинтересованные лица забыть твой домашний адрес, фамилию и телефон? Тоже как бы и учитывать и не забывать нельзя про этот момент. Особенно, если суммы на счету не пара сотен баксов.)

[benzotrav 37724]

On 13.03.2021 at 13:38, fullzero said:

Адрес какой? На кошельке или доставки кошелька? 

 

Что и Электрум дистанционно взломали? Как, он же не имеет доступ в интернет? 

 

Почему вы думаете, что вирусам нужен доступ в интернет? Условно я могу червя подхватить с интернета и .ехе файла скачанного и он будет через флешки передаваться в компьютерном школьном классе спокойно или через вайфай в другие устройства или банально блютуз и все в этом духе. Айфоны через блютуз то и хакают, аппаратник же подключается к устройству через юсб кабель, с чего вы взяли, что туда вирус не зайдет?)

[CrazyPool 25796]

23 hours ago, benzotrav said:

Ну тут уже стоит понимать идеальную среду обитания злоумышленников и всего этого дела, если они сидят больше на школьниках и наивных пользователях одноклассников, а это тетки и дядки под 50 лет, которые при виде выигранного айфона бегут его покупать и вся эта фигня, то там суммы относительно заработка не большие. Совсем другое дело это дистанционно взломать злоумышленнику аппаратный кошелек Леджер за 7500 рублей, который уж точно хранить в себе сумму меньше суммы покупки не будет)

   Поэтому я и говорил - про разделение общества этих самых злоумышленников.Одни навариваются за счет бедных пользователей устанавливающих вирусы а другая активно пытается красть средства в сфере криптовалют и как показывает практика - пользователи сами отдают их в руки злоумышленников (90% случаев).
 Хоть раз вы видели чтобы кошелек леджер взломали дистанционно?:D думаю над этим они до сих пор работают или же направили свои силы на другие проекты?) 

[cachexx 3999]

1 час назад, mdv said:

Ну про ящик конечно забыть можно, не вопрос. А как заставить заинтересованные лица забыть твой домашний адрес, фамилию и телефон? Тоже как бы и учитывать и не забывать нельзя про этот момент. Особенно, если суммы на счету не пара сотен баксов.)

Ничего себе прокол. И ведь они реально сильно подставили своих клиентов, дав список людей, у которых с высокой вероятностью есть средства в крипте. Такую базу вполне могут начать продавать неприятным людям. Неужели эти специалисты по безопасности не потрудились хотя бы шифровать данные?

Edited March 14, 2021 by cachexx

[CrazyPool 25796]

2 hours ago, mdv said:

Ну это единая база покупателей, там и мыло, и адрес доставки с фамилией, и информация, чем человек расплачивался. Я лично вижу как может аукнуться  - это куча спама в ящике с фишинговыми ссылками - это опасновато для людей мало шарящих. И маловероятный, но очень неприятный нюанс - могут и по домашнему адресу нехорошие люди в гости пожаловать. 

От сенсорного экрана толк небольшой все же есть, но не уверен, что за это стоит переплачивать, младшая модель ничуть не хуже.

 Значит одно и тоже (я просто не покупал аппаратный кошелек поэтому ничего не регистрировал).Вообще зачем им эта база данных? уж точно не для благих целей - может рассылка полезной информации по типу: У нас вышло новое обновление и ещё более моднявый кошелек?) 
 В гости пожаловать конечно наврятли,кому это надо в своём уме? ведь у них нету данных сколько вы туда перевели криптовалюты,на такой риск никто не пойдёт другое дело гос айтишники если додумаются до этого,но как по мне это нарушение их же законодательств.

[benzotrav 37724]

20 hours ago, mdv said:

Да, именно так, вся эта информация вообще никакого отношения не имеет к самому аппаратнику, просто теперь известно, что конкретный человек его заказывал, и ничего более. И я со всей ответственностью это заявляю. Разве что можно прийти к хозяину домой, и лично его взломать паяльником. А ту самую статью, что вы привели в пример, вы похоже, даже не читали, ибо там русским по белому написано, что у чела бабки вывели с коинбейса, и аппаратник там вообще не при делах. Это даже установить невозможно, откуда у взломщиков номер его телефона - шито все белыми нитками. Еще раз повторюсь - ни единого дистанционного взлома зафиксировано так и не было за много лет.

Почему вы думаете, что что-то или кто-то неуязвим в этом мире? Особенно обычное устройство, которое подписывает закрыто транзакции, во первых ему же нужен доступ в интернет для транзакций на криптовалюте, во вторых он подключается к устройству через шнур юсб или другие пути подключения к устройству владельца, и через этот путь подключения соответственно аппаратный кошелек, который подписывает транзакции по информации владельца - будет заражен и там впишут банально адрес получателя злоумышленника, как это и происходит по дистанционному взлому:

https://bloomchain.ru/newsfeed/trezor-i-ledger-otvetili-na-informatsiyu-ob-uyazvimosti-ih-apparatnyh-koshelkov

[mdv 37587]

23 minutes ago, benzotrav said:

Почему вы думаете, что что-то или кто-то неуязвим в этом мире? Особенно обычное устройство, которое подписывает закрыто транзакции, во первых ему же нужен доступ в интернет для транзакций на криптовалюте, во вторых он подключается к устройству через шнур юсб или другие пути подключения к устройству владельца, и через этот путь подключения соответственно аппаратный кошелек, который подписывает транзакции по информации владельца - будет заражен и там впишут банально адрес получателя злоумышленника, как это и происходит по дистанционному взлому:

https://bloomchain.ru/newsfeed/trezor-i-ledger-otvetili-na-informatsiyu-ob-uyazvimosti-ih-apparatnyh-koshelkov

Похоже, что о дистанционном взломе знаете только вы один, но все криптосообщество почему то таких случаев не знает. Вы снова подсовываете ссылку, где русским по белому написано, что нужен физический доступ к кошельку. Вы опять мимо.))) Цитирую оттуда же, ну и выделяю текст на всякий случай, для не умеющих читать:

Во время демонстрационных атак кошелек физически модифицировали и установили на него вредоносное ПО для дистанционного подтверждения транзакции. Такой сценарий возможен в теории, но маловероятен на практике, заявили в Ledger. 

Trezor признал возможную уязвимость, но лишь в случае, если у хакера есть физический доступ к устройству.

[benzotrav 37724]

18 hours ago, Zheka said:

Ну так и что с того? Эти данные никак не повлияют на безопасность аккаунта, ведь секретная фраза же у вас хранится, её нет в базе данных, поэтому я считаю, что переживать не нужно, взломали и взломали, что уж поделать. Биржу бинанс тоже взломали, но деньги вернули, а с аппаратников тоже ничего не украли, это неприятно конечно, но ничего страшного в этом не вижу 🙂

Повлияют, банально покупка Леджера и регистрация на их сайте и все в этом духе и есть базой данных пользователей, думаете они не синхронизируют информацию из своих же детищ в свою базу данных? Баланс пользователя, его адрес и все в этом духе. Это как социальные сети - при взломе базы данных известен даже адрес физический пользователя, как и на взломе Леджера было. Отсюда и взломы дистанционные пошли позже.

[mdv 37587]

56 minutes ago, cachexx said:

Ничего себе прокол. И ведь они реально сильно подставили своих клиентов, дав список людей, у которых с высокой вероятностью есть средства в крипте. Такую базу вполне могут начать продавать неприятным людям. Неужели эти специалисты по безопасности не потрудились хотя бы шифровать данные?

Ну да, я вижу в этом проблему, и причем не малую. Вероятность, пусть пока и теоретическая, но существует, что чем выше по цене подскочит биток, тем интересней станет такой списочек для некоторых темных личностей. Х.з. чем они там думали, и как такое допустили. 

[fullzero 35620]

1 hour ago, mdv said:

Ну про ящик конечно забыть можно, не вопрос. А как заставить заинтересованные лица забыть твой домашний адрес, фамилию и телефон? Тоже как бы и учитывать и не забывать нельзя про этот момент. Особенно, если суммы на счету не пара сотен баксов.)

Да, вот с адресом и личностью могут быть проблемы. Но и здесь ведь для мошенников игра в рулетку. Ехать не пойми куда, чтобы стрясти с тебя кошелек с твоими накоплениями? А если это не окупится? Но все равно, в этом случае нужно ходить и оглядываться, а это уже не радует. 

 

1 hour ago, benzotrav said:

аппаратник же подключается к устройству через юсб кабель, с чего вы взяли, что туда вирус не зайдет?)

Пусть через USB-кабель, но как он примет вирус, если на аппаратник ничто нельзя записать? Как вирус войдёт в систему апаратника. Даже пусть он проникнет в аппаратник, как он передаст данные, если ему нужен интернет, а аппаратник не контачит с интернетом. 

 

44 minutes ago, benzotrav said:

будет заражен и там впишут банально адрес получателя злоумышленника, как это и происходит по дистанционному взлому:

https://bloomchain.ru/newsfeed/trezor-i-ledger-otvetili-na-informatsiyu-ob-uyazvimosti-ih-apparatnyh-koshelkov

Опять физический доступ, дистанционно это не получится сделать. 

[cachexx 3999]

6 minutes ago, mdv said:

Ну да, я вижу в этом проблему, и причем не малую. Вероятность, пусть пока и теоретическая, но существует, что чем выше по цене подскочит биток, тем интересней станет такой списочек для некоторых темных личностей. Х.з. чем они там думали, и как такое допустили. 

Интересно, какие в данном случае перспективы коллективного судебного иска. О защите персональных данных, моральных страданиях - адвокаты разберутся. Мне кажется, что такие перспективы присутствуют. 

[mdv 37587]

58 minutes ago, CrazyPool said:

 Значит одно и тоже (я просто не покупал аппаратный кошелек поэтому ничего не регистрировал).Вообще зачем им эта база данных? уж точно не для благих целей - может рассылка полезной информации по типу: У нас вышло новое обновление и ещё более моднявый кошелек?) 
 В гости пожаловать конечно наврятли,кому это надо в своём уме? ведь у них нету данных сколько вы туда перевели криптовалюты,на такой риск никто не пойдёт другое дело гос айтишники если додумаются до этого,но как по мне это нарушение их же законодательств.

Ну такое - база как база, как и в любом интернет магазине, этим же все магазины практически пользуются. Но то, что людей реально подставили, это их косяк, и ничто их не оправдывает. Ну пока еще толком не понятно, во что это выльется в будущем.

13 minutes ago, benzotrav said:

думаете они не синхронизируют информацию из своих же детищ в свою базу данных?

Нет, и в принципе существовать не может такая база с любыми данными по кошельку, как то сиды, пины, пассфразы.

[benzotrav 37724]

33 minutes ago, mdv said:

Похоже, что о дистанционном взломе знаете только вы один, но все криптосообщество почему то таких случаев не знает. Вы снова подсовываете ссылку, где русским по белому написано, что нужен физический доступ к кошельку. Вы опять мимо.))) Цитирую оттуда же, ну и выделяю текст на всякий случай, для не умеющих читать:

Во время демонстрационных атак кошелек физически модифицировали и установили на него вредоносное ПО для дистанционного подтверждения транзакции. Такой сценарий возможен в теории, но маловероятен на практике, заявили в Ledger. 

Trezor признал возможную уязвимость, но лишь в случае, если у хакера есть физический доступ к устройству.

Вы бы хорошенько прочитали статью а не выдергивали из контекста нужную для себя строчку, обводили ее здесь красным цветом и делали из меня дурачка) Прочитайте еще раз и обдумайте то, что вы написали. Только прочитайте, а не пробегайтесь глазами. Там же написано, что это заявления Леджера в свое оправдания, а после их взлома базы данных оно и очевидно - леджер не хочет терять кусок рынка и клиентов своих и покупателей, отсюда и такие отмазки. Группа тех людей, которые это сделали же для того, чтобы проучить такое вранье Леджера взяли и слили уязвимость Леджера прямо в соц.сеть в диалоге с Леджером, вместо того, чтобы лично передать их изготовителям. Они ведь и говорили, что взламывали дистанционно и поменяли адрес вывода на адрес злоумышленника, а об этом уже куча статей есть о взломах аппаратников, или все это совпадения по вашему?)

[mdv 37587]

18 minutes ago, fullzero said:

Да, вот с адресом и личностью могут быть проблемы. Но и здесь ведь для мошенников игра в рулетку. Ехать не пойми куда, чтобы стрясти с тебя кошелек с твоими накоплениями? А если это не окупится? Но все равно, в этом случае нужно ходить и оглядываться, а это уже не радует. 

Ты знаешь, очень сложно спрогнозировать, как могут развиваться события. Я вообще не исключаю никаких сценариев. Может ничего и не будет, а может и охоту устроить на владельцев, ну по крайней мере единичные случаи такой охоты вовсе не исключены.

13 minutes ago, cachexx said:

Интересно, какие в данном случае перспективы коллективного судебного иска. О защите персональных данных, моральных страданиях - адвокаты разберутся. Мне кажется, что такие перспективы присутствуют. 

Ну теоретически да, такой иск возможен, но на практике х.з. как можно организовать всех пострадавших. Захотят ли многие присоединиться у такой инициативе, большой вопрос. Но со временем увидим.

[benzotrav 37724]

1 hour ago, CrazyPool said:

   Поэтому я и говорил - про разделение общества этих самых злоумышленников.Одни навариваются за счет бедных пользователей устанавливающих вирусы а другая активно пытается красть средства в сфере криптовалют и как показывает практика - пользователи сами отдают их в руки злоумышленников (90% случаев).
 Хоть раз вы видели чтобы кошелек леджер взломали дистанционно?:D думаю над этим они до сих пор работают или же направили свои силы на другие проекты?) 

В любом случае злоумышленник адекватный и настоящий будет пробовать взламывать скорее аппаратный кошелек или онлайн кошелек любой хранящий средства криптовалютные, нежели заражать вирусом школьника и воровать его социальные сети и всего в этом духе. Ибо как я уже говорил - пользователь не будет покупать аппаратный кошелек за 7500 и выше рублей и хранить там пару рублей, там явно будет крупная сумма ибо на мелких хранить смысла нет, когда они лучше на онлайн кошельках для торговли и холдинга пойдут)

[mdv 37587]

10 minutes ago, benzotrav said:

Вы бы хорошенько прочитали статью а не выдергивали из контекста нужную для себя строчку, обводили ее здесь красным цветом и делали из меня дурачка) Прочитайте еще раз и обдумайте то, что вы написали. Только прочитайте, а не пробегайтесь глазами. Там же написано, что это заявления Леджера в свое оправдания, а после их взлома базы данных оно и очевидно - леджер не хочет терять кусок рынка и клиентов своих и покупателей, отсюда и такие отмазки. Группа тех людей, которые это сделали же для того, чтобы проучить такое вранье Леджера взяли и слили уязвимость Леджера прямо в соц.сеть в диалоге с Леджером, вместо того, чтобы лично передать их изготовителям. Они ведь и говорили, что взламывали дистанционно и поменяли адрес вывода на адрес злоумышленника, а об этом уже куча статей есть о взломах аппаратников, или все это совпадения по вашему?)

Ну аналогично, из меня то тоже дурачка делать не надо, которых нихрена не понимает, и ляпает тут языком, что на ум взбредет. Эти все ситуации со взломами на тапке давно уже перетерты до дыр, и разложены по косточкам. Тапок вроде бы для вас, насколько помню, был авторитетом. Криптосообщество  зорко следит, за всем, что происходит. Я тоже далеко не новичек в крипте, и моих знаний вполне достаточно для рассуждений по теме.) А получается, что недоверие вы высказываете даже не лично мне, а всему криптосообществу. Да и у вас что ни заявление - то все мимо кассы, и по высказыванием явно видно, что темой вы не владеете, от слова совсем, проколы на самых элементарных вещах. Так нельзя.

[benzotrav 37724]

43 minutes ago, fullzero said:

Пусть через USB-кабель, но как он примет вирус, если на аппаратник ничто нельзя записать? Как вирус войдёт в систему апаратника. Даже пусть он проникнет в аппаратник, как он передаст данные, если ему нужен интернет, а аппаратник не контачит с интернетом. 

 

Опять физический доступ, дистанционно это не получится сделать. 

Вирус зайдет также и аналогично легко, как и на флешку заходит и потом передается из флешки и копируется на все подключенные к флешке устройства) Или вы думаете, что вирусу нужна операционная система для функционирования? Вирус банально входит в систему, а система есть везде ибо на флешке хранится данные, на аппаратнике подписываются транзакции и как я уже писал здесь - дистанционно взламывают аппаратники, меняя адрес получателя владельца на злоумышленника:

https://bloomchain.ru/newsfeed/trezor-i-ledger-otvetili-na-informatsiyu-ob-uyazvimosti-ih-apparatnyh-koshelkov

[benzotrav 37724]

26 minutes ago, mdv said:

Ну аналогично, из меня то тоже дурачка делать не надо, которых нихрена не понимает, и ляпает тут языком, что на ум взбредет. Эти все ситуации со взломами на тапке давно уже перетерты до дыр, и разложены по косточкам. Тапок вроде бы для вас, насколько помню, был авторитетом. Криптосообщество  зорко следит, за всем, что происходит. Я тоже далеко не новичек в крипте, и моих знаний вполне достаточно для рассуждений по теме.) А получается, что недоверие вы высказываете даже не лично мне, а всему криптосообществу. Да и у вас что ни заявление - то все мимо кассы, и по высказыванием явно видно, что темой вы не владеете, от слова совсем, проколы на самых элементарных вещах. Так нельзя.

Так теперь вы говорите не о том, за что мне предъявляли - водичку лью и все в этом духе. Вот перед нами инцидент, когда группа людей дистанционно взломала Леджер и заменила адрес получателя на злоумышленника и вывела средства и вот Леджер, коротому хакнули всю базу данных 270 тысяч пользователей аппаратника и он отрицает себя от этого всего, дабы не утратить часть рынка и покупателей. Думаете группе людей есть смысл врать и при этом сливать уязвимость в сеть?) Я так не думаю, то, что размусолили где-то и как-то и что с этого? Все криптосообщество и все пользователи кроме одного меня в один голос говорят о неуязвимости аппаратного кошелька?)

[KalinaF 72]

Думаю, что стоит придерживаться элементарным правилам, которые могут очень хорошо защитить ваши финансовые средства. 

[DexterG 5365]

5 minutes ago, KalinaF said:

Думаю, что стоит придерживаться элементарным правилам, которые могут очень хорошо защитить ваши финансовые средства. 

Согласен, если изначально все соблюдать и придерживаться всех правил, то такого случится не должно, бывают разные случаи , но о безопасности своих средств нужно подумать заранее .