Kritikk av Maskinvare-Lommebøker
Onchain-etterforsker ZachXBT har kritisert maskinvare-lommebøker og argumentert for at brukere ikke bør stole på dem for kritisk signering av transaksjoner eller lagring av store mengder kryptovaluta. I et innlegg på Telegram beskrev ZachXBT maskinvare-lommebøker som «fullstendig søppel» og sa at han ikke anbefaler å bruke dem til viktige oppgaver.
Alternativ til Maskinvare-Lommebøker
I stedet foreslo han å bruke en egen iPhone som er helt dedikert til å håndtere kryptoaktiva. ZachXBT rettet sin sterkeste kritikk mot Ledger, en av de største produsentene av maskinvare-lommebøker. Han kalte Ledger «den dårligste» og hevdet at hyppige oppdateringer til Ledger Live kan forstyrre grunnleggende funksjoner.
ZachXBT sier at maskinvare-lommebøker er «søppel,» med Ledger som den dårligste.
ZachXBT, en av de mest fremtredende onchain-etterforskerne i kryptoindustrien, sa at han ikke anser nåværende maskinvare-lommebøker som egnet for å signere kritiske transaksjoner eller lagre store mengder eiendeler. Han sa at Ledger Live mottar «regelmessige oppdateringer for UI/applikasjoner uten god grunn som bryter enkle handlinger.»
Ingen Bevis for Sikkerhetsbrudd
Kommentarene representerer ZachXBTs personlige vurdering. Han ga ikke bevis for at Ledger-enheter hadde vært utsatt for et nytt sikkerhetsbrudd eller at deres beskyttelse av private nøkler hadde blitt kompromittert. Ledger har siden omdøpt Ledger Live til Ledger Wallet. Ifølge selskapets offisielle utgivelsesnotater ble Ledger Wallet versjon 4.8.0 utgitt 11. juni med sikkerhetsforbedringer, grensesnittendringer og mindre feilrettinger.
Angrep på Maskinvare-Lommebøker
Selskapet fortsetter å promotere maskinvarebasert signering som en måte å holde private nøkler adskilt fra internett-tilkoblede enheter. ZachXBTs forslag tar en annen tilnærming ved å bruke en smarttelefon som kun er reservert for krypto-transaksjoner. Kritikken kommer ettersom angripere fortsatt retter seg mot eiere av maskinvare-lommebøker gjennom sosial manipulering og falske applikasjoner.
Disse angrepene involverer ikke nødvendigvis å bryte sikkerheten til den fysiske lommeboken selv. Som tidligere rapportert av crypto.news, mistet en kryptoinnehaver mer enn 282 millioner dollar i Bitcoin og Litecoin i januar etter et sosial manipuleringssvindel med maskinvare-lommebok. ZachXBT rapporterte at angriperne raskt flyttet de stjålne midlene gjennom flere tjenester og konverterte en del av dem til Monero.
Hendelsen viste hvordan angripere kan målrette brukere uten å direkte kompromittere den tekniske sikkerheten til en maskinvare-lommebok.
Sosial manipulering forsøker i stedet å overbevise ofrene om å avsløre sensitiv informasjon eller ta handlinger som gir kriminelle kontroll over eiendelene deres. Ledger-brukere har også vært utsatt for angrep som involverer programvare som utgir seg for å være offisielle selskapsprodukter. Slike tilfeller kan skape sikkerhetsrisikoer selv når den fysiske maskinvare-enheten fortsatt fungerer som den skal.
Falske Applikasjoner og Sikkerhetsrisikoer
I april stjal en falsk Ledger Live-applikasjon oppført på Apples App Store minst 9,5 millioner dollar fra mer enn 50 ofre på en uke, ifølge rapporter fra crypto.news. Den svindel-applikasjonen kopierte Ledger-merkevaren og dukket opp for brukere som søkte etter selskapets lommebokprogramvare. Ofrene rapporterte at de skrev inn sine gjenopprettingsfraser i den falske applikasjonen, noe som gjorde det mulig for angriperne å få kontroll over lommebøkene deres. De stjålne eiendelene inkluderte Bitcoin, Ethereum, Solana, Tron og XRP. Apple fjernet senere den svindel-applikasjonen fra butikken.
Konklusjon
ZachXBTs anbefaling om en dedikert iPhone ville redusere noe av eksponeringen knyttet til å bruke en enhet for daglig surfing, meldinger og annen online aktivitet. Imidlertid avhenger en smarttelefon fortsatt av sitt operativsystem, installert programvare, sikkerhetskopipraksis og brukerens sikkerhetsvaner. Debatten handler om forskjellige tilnærminger til krypto-selvoppbevaring. Maskinvare-lommebøker fokuserer på å holde private nøkler isolert fra generelle internett-tilkoblede enheter. ZachXBT favoriserer i stedet streng enhetsseparasjon gjennom en telefon som kun brukes til krypto. I begge tilfeller kan brukere fortsatt stå overfor risiko fra phishing, falske applikasjoner, eksponerte gjenopprettingsfraser og sosial manipulering.
