#ColdcardSeedAlert

Câu hỏi phổ biến nhất mà tôi nhận được ngay bây giờ sau tin tức về COLD CARD MK3, MK4, MK5 và Q bị ảnh hưởng entropy, là: "Rob, nếu bạn ở vị trí của tôi, bạn sẽ làm gì ngay bây giờ? Bạn sẽ gửi bitcoin của mình đến đâu để an toàn?" Tôi sẽ chia sẻ với bạn danh sách những việc tôi sẽ làm, nhưng trước tiên, có một CẢNH BÁO BẢO MẬT KHẨN CẤP TRONG HỆ SINH THÁI BITCOIN. Dưới đây là đánh giá cá nhân của tôi về tình hình. Nếu bạn hoặc ai đó bạn biết: Sử dụng MK3, MK4, MK5 hoặc Q trong ví chữ ký đơn HOẶC Ví đa chữ ký mà các thiết bị cold card có thể tự động di chuyển quỹ (Ví dụ, 2 cold card và một Ledger). Xin hãy tiếp tục đọc. Bạn có thể đang gặp nguy hiểm. Nếu điều này không áp dụng cho bạn, bạn có thể tiếp tục đọc nếu muốn, nhưng bạn không bị ảnh hưởng bởi vấn đề này. Nếu bạn vẫn đang đọc, có ba biện pháp giảm thiểu đã được xác định để bảo vệ bạn hiện tại. Tất cả đều là các hình thức khác nhau mà bạn có thể đã tự tạo entropy cho mình. A: DICE - Điều này được thực hiện bằng cách tung xúc xắc từ đầu, hoặc thêm các lần tung xúc xắc vào cụm từ khôi phục được tạo ra. Ít nhất 50 lần tung xúc xắc sẽ là ngưỡng của tôi ở 128 bit entropy. HOẶC B: PASSPHRASE - Bạn đã sử dụng một cụm mật khẩu có entropy đủ (128 bit). Ví dụ về cụm mật khẩu 128 bit entropy bao gồm các KẾT HỢP NGẪU NHIÊN của các yếu tố sau: - 12 từ hạt giống BIP 39. - 10 từ phổ biến trong tiếng Anh - 25 chữ cái thường và số kết hợp - 20 ký tự nếu bạn sử dụng ký tự ASCII Lưu ý về cụm mật khẩu: Điều này không bao gồm cùng một từ lặp lại 12 lần, 10 từ trong một câu, v.v. Các kết hợp ký tự/số HOẶC từ này không bao giờ được nhìn thấy hoặc nói trước đây trong tổng thể kiến thức và kinh nghiệm của con người. Nó cần phải NGẪU NHIÊN để tạo thành entropy. HOẶC C: EXTERNAL ENTROPY - Cụm từ khôi phục của bạn được tạo hoàn toàn bên ngoài hệ sinh thái cold card. (Nó được nhập vào cold card, không được tạo trên đó) Bây giờ, nếu bạn vẫn đang đọc và bạn không có bất kỳ biện pháp giảm thiểu nào trong số này, bạn cần di chuyển quỹ của mình. Mức độ khẩn cấp của tình huống như sau: CẤP 1: CÀNG SỚM CÀNG TỐT Kịch bản A: Nếu bạn đang ở trong ví chữ ký có thiết bị bị ảnh hưởng, và không sử dụng bất kỳ biện pháp giảm thiểu nào được liệt kê ở trên. Bạn cần di chuyển quỹ ngay bây giờ. Tìm ai đó giúp bạn, bất kỳ lúc nào quỹ của bạn có thể bị đánh cắp. Kịch bản B: Nếu bạn có một multisig N trên N (ví dụ 2 trên 2, 3 trên 3, v.v) chỉ gồm các thiết bị cold card mà không có các biện pháp giảm thiểu (dice và/hoặc passphrase). Kẻ tấn công sẽ thử tất cả các kết hợp của các khóa bị xâm phạm. Họ biết tất cả cụm từ khôi phục của bạn. Bạn đã bị xâm phạm. Chỉ là vấn đề thời gian để họ ghép các mảnh lại với nhau và đánh cắp quỹ của bạn. Nếu đây là trường hợp của bạn, tôi sẽ có thêm thông tin bên dưới về cách giảm thiểu rủi ro khi phát sóng giao dịch của bạn. CẤP 2: KHẨN CẤP Nếu bạn đang ở trong ví chữ ký đơn với thiết bị bị ảnh hưởng, và bạn đã sử dụng ít hơn 50 lần tung xúc xắc HOẶC một cụm mật khẩu kém an toàn hơn những gì tôi đã chia sẻ ở trên. Toàn bộ bảo mật bitcoin của bạn phụ thuộc vào mức độ Dice VÀ Passphrase bạn đã áp dụng cho ví của mình. Kẻ tấn công biết cụm từ khôi phục của bạn. Entropy từ dice hoặc passphrase là thứ duy nhất bảo vệ bạn. Bạn có thêm passphrase là 'bitcoin'? Bạn cơ bản đang ở cấp 1. Bạn dùng 6 từ? Bạn không ở cấp 1, nhưng bạn cũng không an toàn. Bạn cần lên kế hoạch di chuyển quỹ nhanh chóng. CẤP 3 SẮP TỚI, NHƯNG BỐI CẢNH QUAN TRỌNG: Bạn có một ví đa chữ ký mà các thiết bị bị xâm phạm có đủ khả năng di chuyển quỹ. Ví dụ là multisig 2 trên 3 với 2 cold card và một người ký khác. Vấn đề với Cấp 3 là kẻ tấn công có thể đã tìm ra cụm từ khôi phục không an toàn của bạn. Điều này có nghĩa là khi bạn phát sóng giao dịch bitcoin, kẻ tấn công về lý thuyết có thể đánh cắp quỹ của bạn. LƯU Ý: NẾU BẠN Ở TRONG TÌNH HUỐNG NÀY, VÀ BẠN ĐÃ TÁI SỬ DỤNG ĐỊA CHỈ, TẤT CẢ CÁC ĐỊA CHỈ TÁI SỬ DỤNG ĐẶT BẠN TRỞ LẠI CẤP 1, DI CHUYỂN NGAY QUỸ CỦA BẠN ĐANG BỊ NGUY HIỂM NGAY LÚC NÀY Bạn nên tìm cách sử dụng dịch vụ slipstream của @MARAFoundation_, dịch vụ này sử dụng mempool riêng tư. Điều này có nghĩa là khi kẻ tấn công có thể thấy nỗ lực phục hồi của bạn, nó đã nằm trong một block và không thể đánh cắp quỹ. CẤP 4: THAY KHÓA. Đây là khi bạn có một hoặc nhiều cold card không an toàn trong quorum multisig của bạn, và bạn biết các khóa khác trong quorum không bị ảnh hưởng bởi lỗi này. Nếu có MK3, MK4, MK5 hoặc Q trong quorum, NHƯNG họ: 1. Đã tung đủ xúc xắc (tối thiểu 50 lần) 2. Có passphrase mạnh (như đã định nghĩa ở trên). 3. Sử dụng entropy không lấy từ thiết bị, họ không bị ảnh hưởng bởi lỗi trong Cold Card (xem ghi chú về các biện pháp giảm thiểu). Bạn đang ở vị trí mà một số ít khóa của bạn bị xâm phạm. Quỹ an toàn, nhưng bảo mật giảm. Hãy lên kế hoạch khi có thể để loại bỏ thiết bị bị xâm phạm khỏi ví của bạn. Bây giờ, với cảnh báo bảo mật đó, quay lại câu hỏi, tôi sẽ làm gì trong tình huống này? Dưới đây chỉ là ý kiến cá nhân của tôi, nhưng bạn không nên chỉ dựa vào ý kiến của tôi, bạn sẽ phải tự đưa ra lựa chọn dựa trên cảm nhận tốt nhất cho bạn. Tôi muốn làm rõ, nếu bạn không có trong danh sách này. Không phải tôi nghĩ sản phẩm/doanh nghiệp của bạn xấu, không an toàn hay có rủi ro, tôi đang trả lời trực tiếp câu hỏi tôi sẽ làm gì. Đây là đánh giá cá nhân dựa trên thập kỷ kinh nghiệm của tôi trong bitcoin. Trước tiên, một tuyên bố từ chối trách nhiệm: Bitcoin của tôi nằm tại công ty tôi @AnchorWatch. Tôi có toàn bộ trách nhiệm trong trò chơi rằng nếu tôi cung cấp giải pháp lưu ký, sẽ không bao giờ có nơi nào khác tôi lưu trữ lượng lớn bitcoin dài hạn cho bản thân hoặc gia đình, và sẽ luôn như vậy khi tôi còn ở đây. Tôi là bitcoin đầu tiên được đưa lên nền tảng Trident Vault của chúng tôi. Nếu ngày nào đó đến, tôi sẽ là bitcoin cuối cùng rời khỏi nền tảng. Năm tháng xây dựng tại AnchorWatch là dành cho những khoảnh khắc như thế này. Tránh các kịch bản rủi ro thảm họa. Chúng tôi cung cấp 2 sản phẩm: 1. Sản phẩm chủ lực, nơi bạn với tư cách khách hàng có thể giữ 1 hoặc 3 khóa, và chúng tôi đóng vai trò đồng ký. Chúng tôi tận dụng hợp đồng thông minh gốc bitcoin cho phép bitcoin của bạn có các cách khác nhau để chi tiêu theo thời gian. 2. Lưu ký đa tổ chức, nơi chúng tôi cho phép bạn phân phối khóa của mình qua 3 tổ chức gồm chúng tôi, @bitgo và @CoinCorner. 2 trong 3 tổ chức phải ký giao dịch, và bạn phải trình bày chữ ký Yubikey trước khi rút để giảm thiểu deepfake và tài khoản bị xâm phạm. Với cả hai sản phẩm, vì chúng tôi là đồng ký, chúng tôi có thể thực thi các quy tắc như địa chỉ được phép, và kiểm soát tốc độ (bạn có thể gửi bao nhiêu bitcoin và tần suất). Bạn thậm chí có thể tắt nút gửi trên nền tảng nếu muốn! Chúng tôi cũng cung cấp bảo hiểm 1:1 được bảo đảm bởi Lloyd's of London. Nếu bạn muốn tìm hiểu thêm về những gì chúng tôi làm, hãy liên hệ @_joerodgers hoặc @BeccaAmilee để biết thêm, hoặc xem trang web của chúng tôi. Bây giờ, với những điều đó, những nơi tôi sẽ để bitcoin của mình (ngoài @AnchorWatch) không theo thứ tự ưu tiên: Người lưu ký: Tôi sẽ tin tưởng khoản tiết kiệm cả đời mình tại @River trong tình huống khẩn cấp. Đây là một trong những thời điểm đó. @Leishman và toàn bộ đội ngũ tại River là những nhà điều hành xuất sắc. Đây là doanh nghiệp dịch vụ bitcoin yêu thích của tôi trên thị trường hiện nay ngoài công ty của tôi. Họ sở hữu hạ tầng lưu ký riêng, và trong những lúc như thế này, bạn muốn những người có quyền sở hữu và kiểm soát tuyệt đối cách quản lý tiền của khách hàng. @River thực hiện kiểm tra dự trữ hàng tháng, và bạn có thể bật tính năng force field để đóng băng việc rút bitcoin. Họ có đội ngũ lưu ký đẳng cấp thế giới, và đang cải tiến thường xuyên với một bản nâng cấp lớn đã được lên kế hoạch từ lâu, sẽ diễn ra vào cuối năm nay. Lưu ký hợp tác: 1. @Bitkey là một sản phẩm tuyệt vời với đội ngũ kỹ sư xuất sắc được hỗ trợ bởi tổ chức @BlockEng. Họ có các nhà phát triển bitcoin xuất sắc trong các đội @spiral_xyz và @CashApp, những người hiểu sâu về Bitcoin. @jack là người tin tưởng bitcoin lâu năm đã xây dựng một tổ chức không có đối thủ về nguồn lực không chỉ hiểu bitcoin mà còn xây dựng trên bitcoin. Bạn có thể mua Bitkey tại Best Buy ngay hôm nay! Tôi muốn thêm một tuyên bố từ chối trách nhiệm rằng tất cả các khóa được quản lý trong hệ sinh thái Bitkey. Đội ngũ Bitkey đã nỗ lực rất nhiều để giữ an toàn, nhưng trước các sự kiện gần đây, tôi muốn nhấn mạnh điều đó. Hiện tại, Bitkey là ngoại lệ duy nhất của tôi đối với lý tưởng thuần túy về multisig đa nhà cung cấp (sẽ nói thêm bên dưới). 2. @CasaHODL - @Nneuman và @lopp đã phản ứng nhanh với sự cố này, và xây dựng trải nghiệm người dùng rất sạch sẽ để giúp mọi người an toàn. Bạn có thể sử dụng multisig 2 trên 3 hoặc 3 trên 5 với ứng dụng di động tuyệt vời. Casa là UX tốt nhất cho multisig hợp tác có chủ quyền hiện có trên thị trường. 3. @uncahined - Unchained là người tiên phong mô hình lưu ký hợp tác và lưu ký đa tổ chức. Họ đã làm việc suốt ngày đêm để hỗ trợ khách hàng và thậm chí đã sử dụng slipstream để đi xa hơn trong thời gian ngắn nhằm giữ an toàn cho bitcoin của khách hàng. Tự lưu ký: Tôi đã chi gần 5 nghìn đô la cho các token LLM trong 24 giờ qua để quét hơn một trăm kho lưu trữ liên quan đến bitcoin. Cho đến nay, tôi chưa thấy lỗ hổng nào khiến tôi lo ngại về bất kỳ thiết bị phần cứng nào ngoài Cold Cards. Dù vậy, bạn không thể chắc chắn. Vì vậy tôi sẽ theo hướng dẫn "Bitcoin 10x security guide" của @mflaxman. Đó là cách tôi giữ bitcoin trước khi thành lập @AnchorWatch, và dù hướng dẫn đã 6 năm tuổi, các nguyên tắc vẫn vĩnh cửu. Tôi sẽ bỏ gợi ý sử dụng cold card và thay thế bằng bất kỳ ví phần cứng nào khác. Tôi sẽ thay cold card bằng @Ledger vào lúc này nếu là quyết định của tôi. Bạn có thể mua Ledger tại Best Buy ở Mỹ. Michael đã tiên phong khái niệm multisig đa nhà cung cấp, và nếu bạn muốn một giải pháp hoàn toàn có chủ quyền, hiện tại không có mô hình tư duy nào tốt hơn để suy nghĩ về điều này, ông ấy có các tab nâng cao để tăng cường bảo mật. Trong hướng dẫn cold card của ông ấy, ông ấy công bằng chỉ ra lợi ích thêm của việc tung xúc xắc, điều này đã cứu bạn hôm nay. Tôi nghĩ tương lai là kết hợp công nghệ chúng tôi sử dụng tại @AnchorWatch để vượt ra ngoài mô hình lưu ký chữ ký đơn/đa chữ ký, với các nguyên tắc trong hướng dẫn 10x security của @mflaxman và sự hỗ trợ của lưu ký hợp tác. Sẽ nói thêm về điều đó sau, nhưng bạn cũng nên xem @lianabitcoin từ @Wizardsardine, họ cung cấp ví mã nguồn mở hoàn toàn cho phép các hợp đồng thông minh nâng cao hơn và là các nhà nghiên cứu bảo mật trong hệ sinh thái bitcoin. Với những điều đó, tôi sẽ quay lại làm việc. Tôi sẽ đăng trả lời tiếp theo nếu có thêm thông tin hoặc bất kỳ sửa đổi hay làm rõ nào cần thực hiện.