3 unidades, 80%, 86 milhões de dólares: ontem, a Trezor admitiu que 3 dispositivos Safe 5 foram equipados com chips espiões capazes de roubar frases-semente — e, no mês passado, a mesma loja já havia feito usuários da Ledger perderem mais de 86 milhões de dólares.
#Trezor确认3台Safe5设备遭恶意植入
Foi assim: em 30 de outubro, um usuário denunciou que havia uma placa de circuito desconhecida dentro de seu Safe 5. A Trezor investigou por duas semanas e divulgou os resultados ontem: entre os 48 dispositivos enviados para análise, 3 tinham sido adulterados. Todos foram comprados entre 20 de agosto e 23 de setembro de um distribuidor do Sudeste Asiático, a CryptoBilis, seja pela loja virtual própria da empresa, seja pelas lojas dela na Tokopedia e na Shopee.
A placa estava escondida entre a placa-mãe e a tela. Ela tinha um módulo celular e uma antena, e copiava tudo o que aparecia na tela — assim que a frase-semente aparecia na tela pela primeira vez, já era copiada. O firmware 2.13.1, lançado em 11 de novembro, impede que a placa copie qualquer informação nova, mas a atualização não recupera as frases-semente que já foram copiadas. Nas palavras da Trezor: os backups que já foram expostos continuam inseguros.
Por isso, a Trezor tomou três medidas drásticas desta vez: o firmware 2.13.1 bloqueia a adulteração conhecida; a rede de distribuidores foi reduzida em cerca de 80%, mantendo apenas os que cumprem os requisitos mais rigorosos; e os usuários que compraram dispositivos da CryptoBilis depois de março podem solicitar a troca por um aparelho novo. Mas a recomendação mais importante foi dita pela própria Trezor: quem comprou um dispositivo da CryptoBilis deve transferir suas criptomoedas imediatamente para uma carteira criada com uma frase-semente totalmente nova.
Minha avaliação: o mais assustador nessa história não é o número 3, mas o 0 — até agora, 0 usuários da Trezor denunciaram ter perdido dinheiro, mas isso não significa que estão seguros. O roubo de frases-semente é silencioso: se o ladrão não agir, você nunca saberá que ele já deixou uma porta dos fundos na sua carteira. No caso da Ledger, a mesma loja usou o mesmo método, e as perdas já chegaram a entre 72 milhões e 102 milhões de dólares. Desta vez, a Trezor levantou a tampa antes que alguém perdesse dinheiro. A segurança de uma carteira de hardware nunca depende de quão caro é o chip, mas de quem você compra o dispositivo.
Faça estas três verificações:
1. Você comprou sua carteira de hardware no site oficial ou por um canal autorizado? Considere suspeitas, desde o início, as lojas de terceiros, compras em grupo e importações diretas.
2. Ao receber o dispositivo, inspecione-o: confira o lacre da embalagem, veja se há placas extras dentro do aparelho e observe se, na primeira inicialização, pedem para você pular alguma etapa de verificação. Se algo parecer errado, não transfira suas criptomoedas para ele.
3. Se suspeitar que o dispositivo foi adulterado, não se limite a atualizar o firmware: crie uma carteira nova, com uma frase-semente totalmente nova, transfira suas criptomoedas para ela e descarte a frase-semente antiga.
Mais uma coisa: hoje, não houve novos projetos reprovados na nossa rodada de análise de novos lançamentos; o pool do PO abriu, e o preço atual está em torno de 2 vezes o preço de lançamento. Ainda não atingiu o limite de realização de lucro, então vamos continuar acompanhando.
Você comprou sua carteira de hardware no site oficial ou em uma loja de terceiros? Depois que ela chegou, verificou a embalagem e o dispositivo?
Vou acompanhar de perto os avisos de segurança sobre carteiras de hardware e compartilhar as novidades assim que saírem. Siga-me para não precisar procurar sozinho os comunicados em inglês quando houver outro aviso desse tipo.
— Bao Bao
#Trezor确认3台Safe5设备遭恶意植入
Foi assim: em 30 de outubro, um usuário denunciou que havia uma placa de circuito desconhecida dentro de seu Safe 5. A Trezor investigou por duas semanas e divulgou os resultados ontem: entre os 48 dispositivos enviados para análise, 3 tinham sido adulterados. Todos foram comprados entre 20 de agosto e 23 de setembro de um distribuidor do Sudeste Asiático, a CryptoBilis, seja pela loja virtual própria da empresa, seja pelas lojas dela na Tokopedia e na Shopee.
A placa estava escondida entre a placa-mãe e a tela. Ela tinha um módulo celular e uma antena, e copiava tudo o que aparecia na tela — assim que a frase-semente aparecia na tela pela primeira vez, já era copiada. O firmware 2.13.1, lançado em 11 de novembro, impede que a placa copie qualquer informação nova, mas a atualização não recupera as frases-semente que já foram copiadas. Nas palavras da Trezor: os backups que já foram expostos continuam inseguros.
Por isso, a Trezor tomou três medidas drásticas desta vez: o firmware 2.13.1 bloqueia a adulteração conhecida; a rede de distribuidores foi reduzida em cerca de 80%, mantendo apenas os que cumprem os requisitos mais rigorosos; e os usuários que compraram dispositivos da CryptoBilis depois de março podem solicitar a troca por um aparelho novo. Mas a recomendação mais importante foi dita pela própria Trezor: quem comprou um dispositivo da CryptoBilis deve transferir suas criptomoedas imediatamente para uma carteira criada com uma frase-semente totalmente nova.
Minha avaliação: o mais assustador nessa história não é o número 3, mas o 0 — até agora, 0 usuários da Trezor denunciaram ter perdido dinheiro, mas isso não significa que estão seguros. O roubo de frases-semente é silencioso: se o ladrão não agir, você nunca saberá que ele já deixou uma porta dos fundos na sua carteira. No caso da Ledger, a mesma loja usou o mesmo método, e as perdas já chegaram a entre 72 milhões e 102 milhões de dólares. Desta vez, a Trezor levantou a tampa antes que alguém perdesse dinheiro. A segurança de uma carteira de hardware nunca depende de quão caro é o chip, mas de quem você compra o dispositivo.
Faça estas três verificações:
1. Você comprou sua carteira de hardware no site oficial ou por um canal autorizado? Considere suspeitas, desde o início, as lojas de terceiros, compras em grupo e importações diretas.
2. Ao receber o dispositivo, inspecione-o: confira o lacre da embalagem, veja se há placas extras dentro do aparelho e observe se, na primeira inicialização, pedem para você pular alguma etapa de verificação. Se algo parecer errado, não transfira suas criptomoedas para ele.
3. Se suspeitar que o dispositivo foi adulterado, não se limite a atualizar o firmware: crie uma carteira nova, com uma frase-semente totalmente nova, transfira suas criptomoedas para ela e descarte a frase-semente antiga.
Mais uma coisa: hoje, não houve novos projetos reprovados na nossa rodada de análise de novos lançamentos; o pool do PO abriu, e o preço atual está em torno de 2 vezes o preço de lançamento. Ainda não atingiu o limite de realização de lucro, então vamos continuar acompanhando.
Você comprou sua carteira de hardware no site oficial ou em uma loja de terceiros? Depois que ela chegou, verificou a embalagem e o dispositivo?
Vou acompanhar de perto os avisos de segurança sobre carteiras de hardware e compartilhar as novidades assim que saírem. Siga-me para não precisar procurar sozinho os comunicados em inglês quando houver outro aviso desse tipo.
— Bao Bao
