#ColdcardSeedAlert

Pertanyaan paling umum yang saya dapatkan sekarang setelah berita tentang COLD CARD MK3, MK4, MK5, dan Q yang telah mengkompromikan entropi, adalah: "Rob, apa yang akan kamu lakukan sekarang jika kamu berada di posisiku? Ke mana Anda akan mengirim bitcoin Anda agar aman?" Saya akan membagikan daftar apa yang akan saya lakukan, tetapi pertama-tama, ada PERINGATAN KEAMANAN MENDESAK DI EKOSISTEM BITCOIN. Di bawah ini adalah penilaian pribadi saya tentang situasi ini. Jika Anda atau seseorang yang Anda kenal: Menggunakan MK3, MK4, MK5, atau Q dalam satu tanda tangan ATAU Dompet multi tanda tangan di mana perangkat kartu dingin dapat memindahkan dana secara mandiri (Contoh, 2 kartu dingin dan Ledger). Silakan lanjutkan membaca. Kamu mungkin dalam bahaya. Jika ini tidak berlaku untuk Anda, lanjutkan membaca jika Anda mau, tapi Anda tidak terpengaruh oleh masalah ini. Jika Anda masih di sini, ada tiga mitigasi yang teridentifikasi yang melindungi Anda saat ini. Semua itu adalah bentuk berbeda di mana Anda mungkin membawa entropi Anda sendiri. J: DADU - Ini dilakukan dengan melempar dadu dari awal, atau menambahkan lemparan dadu ke frasa seed yang dihasilkan. Setidaknya 50 lemparan dadu adalah ambang saya pada 128 bit entropi. ATAU B: PASSPHRASE - Anda menggunakan passphrase dengan entropi cukup (128 bit). 128 Bit contoh frasa sandi entropi mencakup kombinasi ACAK berikut: - 12 BIP 39 kata benih. - 10 Kata umum dalam bahasa Inggris - 25 huruf kecil dan angka campuran - 20 jika Anda menggunakan karakter ASCII Catatan tentang frasa sandi: Ini tidak mencakup kata yang sama 12 kali, 10 kata dalam satu kalimat, dan sebagainya. Kombinasi karakter/angka ATAU kata-kata ini seharusnya tidak pernah pernah dilihat atau diucapkan sebelumnya dalam keseluruhan pengetahuan dan pengalaman manusia. Harus ACAK agar bisa menjadi entropi. ATAU C: ENTROPI EKSTERNAL - Frasa benih Anda sepenuhnya berasal dari luar ekosistem kartu dingin. (Kartu tersebut diimpor ke kartu dingin, bukan dihasilkan di atasnya) Sekarang, jika Anda masih membaca dan tidak memiliki mitigasi tersebut, Anda perlu memindahkan dana Anda. Urgensi keadaan adalah sebagai berikut: TINGKAT 1: SECEPAT MUNGKIN Skenario A: Jika Anda berada di dompet tanda tangan dengan perangkat yang terdampak, dan tidak menggunakan mitigasi yang disebutkan di atas. Anda harus memindahkan dana sekarang juga. Cari seseorang untuk membantu Anda, kapan saja dana Anda bisa dicuri. Skenario B: Jika Anda memiliki multisig N dari N (misal 2 dari 2, 3 dari 3, dll) dari perangkat cold card yang tidak memiliki mitigasi yang disebutkan di atas (dadu dan/atau frasa sandi). Penyerang akan grinding semua kombinasi tombol yang telah dikompromikan. Mereka tahu semua frasa benihmu. Kamu sudah terkompromi. Hanya masalah waktu bagi mereka untuk menyusun potongan puzzle dan mencuri dana Anda. Jika skenario ini adalah Anda, saya akan memberikan lebih lanjut di bawah tentang cara mengurangi risiko saat menyiarkan transaksi Anda. TINGKAT 2: MENDESAK Jika Anda menggunakan dompet tanda tangan tunggal dengan perangkat yang terpengaruh, dan Anda menggunakan kurang dari 50 lemparan dadu ATAU frasa sandi yang kurang aman daripada yang saya bagikan di atas. Seluruh keamanan bitcoin Anda bergantung pada seberapa banyak Dadu DAN Frasa Sandi yang Anda terapkan ke dompet Anda. Penyerang tahu frasa benih Anda. Entropi dari dadu atau frasa sandi adalah satu-satunya yang melindungimu. Apakah Anda menambahkan frasa sandi 'bitcoin'? Kamu pada dasarnya berada di tier 1. Apakah kamu menggunakan 6 kata? Kamu belum di tier 1, tapi kamu tidak aman. Anda perlu membuat rencana untuk memindahkan dana dengan cepat. TIER 3 SEGERA, TAPI KONTEKS PENTING: Anda memiliki dompet multi tanda tangan di mana perangkat yang diretas memiliki kemampuan cukup untuk memindahkan dana. Contohnya adalah multisig 2 dari 3 di mana Anda memiliki 2 kartu cold dan satu signer lagi. Masalah dengan Tier 3 adalah penyerang mungkin sudah mengetahui frasa seed yang tidak aman Anda. Ini berarti ketika Anda menyiarkan transaksi bitcoin Anda, secara teori penyerang dapat mencuri dana Anda. CATATAN: JIKA ANDA BERADA DALAM SITUASI INI, DAN ANDA MENGGUNAKAN ALAMAT YANG DIGUNAKAN ULANG, SEMUA ALAMAT YANG DIGUNAKAN KEMBALI LANGSUNG MENEMPATKAN ANDA KEMBALI KE LANGKAH TIER 1. DANA ANDA BERISIKO SAAT INI JUGA Anda sebaiknya mencari cara menggunakan layanan slipstream @MARAFoundation_, yang menggunakan mempool privat. Artinya, saat penyerang melihat upaya pemulihan Anda, sudah berada dalam blok dan tidak mungkin bagi mereka untuk mencuri dana. TIER 4: ROTASI KUNCI. Di sinilah Anda memiliki kartu dingin yang tidak aman dalam kuorum multisig Anda, dan Anda tahu bahwa kunci lain dalam kuorum Anda tidak terpengaruh oleh bug ini. Jika ada MK3, MK4, MK5 atau Q dalam kuorum, TETAPI mereka atau: 1. Lempar dadu yang cukup (50 menit) 2. Memiliki frasa sandi yang kuat (seperti yang didefinisikan di atas). 3. Entropi yang digunakan bukan berasal dari perangkat, mereka tidak terpengaruh oleh bug ini di Cold Card (lihat catatan sebelumnya tentang mitigasi). Anda berada dalam posisi di mana sebagian kecil kunci Anda telah dikompromikan. Dana aman, tapi Anda berada di tingkat keamanan yang lebih rendah. Buat rencana kapan Anda berhasil menghapus perangkat yang telah diretas dari dompet Anda. Sekarang. Setelah peringatan keamanan itu selesai, kembali ke pertanyaan, apa yang akan saya lakukan dalam situasi ini? Di bawah ini hanya pendapat saya, tapi Anda tidak boleh hanya mengandalkan pendapat saya, Anda harus membuat pilihan sendiri berdasarkan apa yang menurut Anda terbaik untuk Anda. Saya ingin memperjelas, jika Anda tidak ada dalam daftar ini. Bukan berarti saya menganggap produk/bisnis Anda buruk, tidak aman, atau berisiko, saya secara langsung menjawab pertanyaan tentang apa yang akan saya lakukan. Ini adalah penilaian pribadi saya mengingat pengalaman saya selama satu dekade di bitcoin. Pertama, sebuah penafian: Bitcoin saya ada di perusahaan saya @AnchorWatch. Saya punya kepentingan penuh dalam hal ini, jika saya menawarkan solusi hak asuh, tidak akan pernah ada tempat lain saya menyimpan bitcoin dalam jumlah besar jangka panjang untuk diri saya atau keluarga saya, dan akan seperti ini selama saya di sini. Saya adalah bitcoin pertama yang masuk ke platform Trident Vault kami. Jika suatu hari itu tiba, saya akan menjadi bitcoin terakhir yang meninggalkan platform. Tahun-tahun yang kami bangun di AnchorWatch adalah untuk momen-momen seperti ini. Menghindari skenario risiko kehancuran yang sangat besar. Kami menawarkan 2 produk: 1. Produk Unggulan kami di mana Anda sebagai pelanggan dapat memegang 1 atau 3 kunci, dan kami bertindak sebagai penjamin bersama. Kami memanfaatkan kontrak pintar asli bitcoin yang memungkinkan bitcoin Anda memiliki berbagai cara untuk digunakan sepanjang waktu. 2. Penjagaan Multi Institusi, di mana kami memungkinkan Anda mendistribusikan kunci ke 3 institusi kami, @bitgo, dan @CoinCorner. 2 dari 3 institusi harus menyetujui transaksi, dan Anda harus menunjukkan tanda tangan Yubikey sebelum menarik dana untuk mengurangi deepfake dan akun yang terkompromi. Untuk kedua produk tersebut, karena kami adalah penjamin bersama, kami dapat menegakkan aturan seperti alamat yang masuk daftar putih, dan kontrol kecepatan (berapa banyak bitcoin yang bisa Anda kirim seberapa sering). Anda bahkan bisa menonaktifkan tombol kirim di platform jika Anda mau! Kami juga menawarkan asuransi 1:1 yang didukung oleh Lloyd's of London. Jika Anda ingin mengetahui lebih lanjut tentang apa yang kami lakukan, kunjungi @_joerodgers atau @BeccaAmilee untuk mengetahui lebih lanjut, atau kunjungi situs web kami. Sekarang setelah itu, tempat-tempat di mana saya akan meninggalkan bitcoin saya (selain @AnchorWatch) tanpa urutan tertentu: Penjaga: Saya akan mempercayai tabungan hidup saya di @River dalam situasi tertekan. Ini salah satu momen seperti itu. @Leishman dan seluruh tim di River adalah operator elit. Ini adalah bisnis layanan bitcoin favorit saya di pasar saat ini selain bisnis saya sendiri. Mereka memiliki infrastruktur kustodian sendiri, dan di saat-saat seperti ini, Anda menginginkan mereka yang memiliki kepemilikan dan kontrol ekstrem atas bagaimana uang pelanggan mereka dikelola. @River melakukan proof of reserves bulanan, dan Anda bisa mengaktifkan fitur force field yang akan membekukan penarikan bitcoin. Mereka juga memiliki tim hak asuh kelas dunia, dan secara rutin melakukan perbaikan dengan peningkatan yang lebih besar yang sudah lama direncanakan, akan terjadi akhir tahun ini. Hak Asuh Kolaboratif: 1. @Bitkey adalah produk luar biasa dengan tim insinyur elit yang didukung oleh organisasi @BlockEng. Mereka memiliki pengembang bitcoin luar biasa di @spiral_xyz dan tim @CashApp yang sangat memahami Bitcoin. @jack telah lama percaya pada bitcoin yang telah membangun sebuah organisasi yang tidak memiliki tandingan dalam sumber daya yang mereka miliki, tidak hanya memahami bitcoin, tetapi juga membangun di atas bitcoin. Anda bisa membelinya Bitkey di Best Buy hari ini! Saya ingin menambahkan disclaimer bahwa semua kunci dikelola dalam ekosistem Bitkey. Tim Bitkey telah berusaha keras untuk menjaga keamanan, tetapi mengingat peristiwa baru-baru ini, saya ingin menegaskan hal itu. Saat ini, Bitkey adalah satu-satunya pengecualian saya terhadap ideal puris multi-vendor multi-sig (lebih lanjut di bawah). 2. @CasaHODL - @Nneuman dan @lopp telah mempercepat respons insiden ini, dan telah membangun pengalaman pengguna yang sangat bersih agar orang tetap aman. Anda bisa menggunakan multisig 2 dari 3 atau 3 dari 5 dengan aplikasi mobile yang bagus. Casa adalah UX terbaik untuk multisig kolaboratif yang ada di pasar saat ini. 3. @uncahined - Unchained mempelopori model hak asuh kolaboratif dan model hak asuh multi institusi. Mereka telah bekerja tanpa henti untuk mendukung pelanggan dan bahkan mampu menggunakan slip stream dengan cara yang lebih dari sebelumnya untuk menjaga keamanan bitcoin pelanggan. Hak Asuh Diri: Saya telah menghabiskan hampir $5 ribu untuk token LLM selama 24 jam terakhir memindai lebih dari seratus repositori terkait bitcoin. Sejauh ini, saya belum melihat kerentanan yang membuat saya khawatir tentang perangkat keras apa pun selain Cold Cards. Meski begitu, Anda tidak bisa yakin. Jadi saya akan mengikuti panduan keamanan Bitcoin 10x @mflaxman. Itulah cara saya memegang bitcoin sebelum mendirikan @AnchorWatch, dan meskipun panduan ini sudah berusia 6 tahun, prinsipnya abadi. Saya akan menghapus sarannya menggunakan kartu dingin dan menggantinya dengan dompet perangkat keras lain. Saya akan mengganti kartu dingin dengan @Ledger saat ini jika itu keputusan saya. Anda bisa mendapatkan Ledger di Best Buy di AS. Michael mempelopori multi-vendor multi-sig sebagai konsep, dan jika Anda menginginkan solusi yang sepenuhnya berdaulat, hingga saat ini tidak ada model mental yang lebih baik tentang bagaimana memikirkannya, dia memiliki tab canggih untuk meningkatkan keamanan lebih lanjut. Untuk panduan kartu dinginnya, dia dengan cukup menyoroti keuntungan tambahan dari melempar dadu, yang seharusnya bisa menyelamatkanmu hari ini. Saya pikir masa depan adalah menggabungkan teknologi yang kami gunakan di @AnchorWatch untuk melampaui paradigma hak asuh satu tanda tangan/multi tanda tangan, dengan prinsip panduan keamanan 10x @mflaxman dan dukungan hak asuh kolaboratif. Akan dibahas lebih lanjut nanti, tapi saya juga akan cek @lianabitcoin dari @Wizardsardine, mereka menawarkan dompet open source penuh yang memungkinkan kontrak pintar yang lebih canggih dan menjadi peneliti keamanan di ekosistem bitcoin. Dengan itu, aku akan kembali bekerja. Saya akan memposting balasan lanjutan jika saya memiliki informasi tambahan atau koreksi atau klarifikasi yang ingin saya buat.