BQC Wallets

Также, как Safe Wallet хакнул ByBit, ваш валлет может хакнуть вас

Гендир Байбита дропнул "детальное расследование" недавнего взлома биржи, и оказывается, у них украли 1.4 лярда в ETH потому, что биржа держала монетки не на собственной инфраструктуре, а на web3 кошельке Safe Wallet. 👀

Этот кошелёк гендир биржи Бен Чжоу упомянул в своём первом посте, описывающем взлом биржи. Но на это почти никто не обратил внимания, даже я как-то "пропустил" это мимо глаз и ушей, хотя текст оригинала прямо указывал на Safe акк в Твиттере.

Согласно отчёту Bybit, взлом претерпела архитектура Мульти-Сига Safe Wallet, а не сама Bybit. Этот сторонний кошелёк располагает стек своих услуг на Облаке Amazon - AWS, где и хранились подгружаемые "на лету" скрипты по управлению кошельком.

Компьютер одного из разработчиков Safe был скомпрометирован, в результате хакер получил доступ к бекендам AWS и функциям Safe. Затем он внедрил в функционал валлета вредоносный JavaScript код, который был немедленно разослан всем пользователям платформы Safe в качестве обновления.

Этот вредоносный JS код, тем не менее, был нацелен конкретно на контрактный адрес криптобиржи Bybit. Код JS изменяет содержание транзакции во время подписи.

Bybit поделилась своим расследованием с публикой через DocSendCom (я не рекомендую вам открывать эти PDF-ки от сотрудников Байбита на своём рабочем девайсе). Смотрим ключевые детали:

👀 Детальное расследование всех сторон, использовавшихся в инициации и подписи транзакции, показало, что вредоносный JavaScript код был инжектирован в ресурс, подаваемый через Сеть с серверов кошелька Safe на Облаке Амазон.

👀 Облако Амазон записало время модификации ресурса, также имеются публично доступные архивы веб-истории. Всё это указало, что внедрение вредоносного JS кода было произведено напрямую в код Safe Wallet, лежащий на сервере AWS.

👀 Анализ внедрённого JS кода показывает, что его главной функцией было манипулирование транзакциями, что дало возможность изменять содержимое транзакций прямо во время процесса подписи.

👀 Также, анализ показал наличие во вредоносном JS коде условия, что активирует его лишь в случае взаимодействия с контрактом кошелька, принадлежащего Bybit.

👀 Через две минуты после того, как хакерская транзакция была выполнена и проведена, новые версии JS кода были загружены на Облако Amazon, эта обновлённая версия уже не содержала вредоносный код.

👀 Эти находки подразумевают, что атака произошла на стороне кошелька Safe, в инфраструктуре AWS.

👀 Расследование не обнаружило проблем безопасности на стороне биржи Bybit." 🤨

~
📡Что это всё значит, простым языком?

Уязвимость с пробросом трояна через обновления касается не только web3 кошельков и криптобирж с туповатыми фаундерами. Она касается любых некастодиальных кошельков в том числе, т.к. большинство из них подгружают функционал и данные с находящихся во владении фаундеров централизованных серверов. А вам врут, что "вы сами контролируете свои приватные ключи".

Чтобы знать, какие кошельки не занимаются подобными практиками, залетайте в Cool People и прокачивайте свои Знания о принципах работы крипто кошельков. Подробности в боте: @btcquestbot.

#bqwallets #bybithack

Но вы вряд ли слышали, как на этом подкасте Паскаль Готье сказал:

"Смарите. Если вы и правда сильно беспокоитесь за приватность ваших биткоинов, то вам не стоит покупать наш кошелек".

Ахаха, что? Ну да, на 39 минуте.
https://youtu.be/M3VjQUcyZSY?t=2342

Как думаете, все эти дорогущие золотые и серебряные кольца с бриллиантами, изумрудами и тонкой ювелирной работой на КАЖДОМ пальце - результат успеха Ledger и крупных продаж?

Или же это новая форма биткоинов и эфиров людей, которые до сих пор уверены, что год, два или три назад их кошелёк вставил "хакер"? 👀

Если не хотите спонсировать кольца, яхты и ламбы разрабам кошельков, залетайте в чат Cool People и читайте первую часть моего Исследования по некастодиальным кошелькам.

⚜️Подробности в боте: @btcquestbot

#ledger

Это рука создателя некастодиального валлета Ledger

Зацените этого перца. А знаете, как выглядит его другая рука? Точно также.

Скрин сделан с подкаста Питера МакКормака, куда Паскаль Готье был приглашен обсудить суперфичу кошелька со сливом Фраз Восстановления юзеров "на хранение третьим лицам с авторизацией по паспорту".

Об этом прошлогоднем скандале с Леджером, я думаю, вы точно слышали.

#ledger

👹Байбит взломан на 1+ миллиард долларов в Эфириуме

Хакер взломал один из холодных мультисигов Байбита, завладев доступом к 401346 ETH, или 1+ млрд баксов. Гендир биржи, Бен Чжоу, сообщил в X менее, чем через час после взлома, что:

1. Хакер смог убедить персонал Байбита, что они подписывают мультисиг транзу, тогда как на деле это была команда на изменение свойств смарт-контракта
2. Все другие холодные кошельки Байбита в порядке
3. Горячие кошельки тоже в порядке
4. Выводы работают в стандартном режиме
5. Взломан был только один из нескольких холодных ETH адресов

Он сообщает, что "Байбит платежеспособна, и если средства не удастся вернуть, все активы клиентов подкреплены 1 к 1, мы можем покрыть потерю."

Скоро в X Бен проведёт лайвстрим и ответит на все вопросы.

Цена Эфира уже просела на 100+ долларов, по крипточатам пошли сообщения шокированных трейдеров про угон с Байбита МИЛЛИАРДА баксов в ETH.

Странно в этом кейсе то, как гендир уже через 30 минут настрочил детальное описание архитектуры хака. Как будто он уже знал, как хак был проведён.

Также интересно, что в "супер защищённом" холодном мульти-сиг сетапе биржи крылась такая простая уязвимость, как возможность превращения запроса на подпись транзакции в команду изменения смарт-контракта. Смарт-контракты Эфириума это всегда повышенный риск, даже если вы имеете дело с мульти-сигами. В каждом кошельке для крипты есть целый ряд разных векторов атаки, о которых нужно знать, чтобы ваша крипта оставалась при вас.

Обещания Чжоу "покрыть" миллиард баксов какими-то мифическими Резервами Биржи, которые всё подкрепляют "1 к 1", выглядит сомнительно. Разве может быть такое, что биржа хранит дополнительные 12 миллиардов долларов криптой и фиатом лишь с целью страхования 1 к 1 уже имеющихся на её балансах 12 миллиардов долларов криптой и фиатом?

Откуда конкретно он возьмёт этот лярд компенсации?

PS. Обратите внимание, как никто из телеграм админов не пишет в своих постах сумму взломанного. Это потому, что у всех партнёрка с биржей и Байбит попросил "не светить цифрой". А у меня нет никаких партнёрок с биржами, поэтому я рассказываю вам Правду за донаты, репосты и реакции. Не дайте холодному сетапу со скрытой уязвимостью лишить вас всего капитала - залетайте в чат Cool People, получите доступ к моим закрытым Исследованиям и будьте уверены, что ваш кошелёк для крипты безопасен.

#bybithack

#bybithack

🧪Использование паролей от 14 символов везде, где только можно, должно стать для вас Принципом

Сделайте своим Принципом - везде ставить пароли от 14 символов. Поменяйте пароль на всех учётках, на которых сейчас пароль меньше 14 символов. Я знаю, что у вас есть такие учётки, и что ваш 2FA пароль в Телеграме, скорее всего, выглядит как "1234". У половины читателей 2FA в Телеграм может быть даже не настроена.

Не ленитесь. Рано или поздно, намеренно или случайно, вы нажмёте на какую-то дрянь. Все нажимали, даже я.

Убытки от нарушения принципов и выгоды от соблюдения их могут прийти не сразу и быть незаметными. Но в какой-то момент будущего - вы осознаете.

Ваши данные на 100% анонимны

До тех пор, пока к нам не придёт запрос от вашего правительства насчёт тех миллионов, которые вы храните на нашем прекрасном кошельке Trezor. 😅

Знаете, что скрыто от взора на скрине выше? Вы бы ни за что не догадались, если бы я не сказал вам.

Обещания "100% анонимности", "100% безопасности" и "100% власти над монетами" висели в самом верху официального сайта Трезор в течение нескольких лет.

До них дошло, какой это колоссальный проёб в плане возможных судебных исков, лишь в январе 2025 года.

Хорошо, что я люблю всё скриншотить. Успел задокументировать эту секцию вебсайта для вас, буквально за пару месяцев до её сноса.

Возможно, это единственная копия такого скриншота на всей планете. Доказывающего, какие же чуваки с Трезора брехуны.

#trezor

Главное, это что разрабы говорят нам то, что мы хотим услышать: постоянно намекают, что в Trezor можно легко уклоняться от налоговой.

Дело не только в гипнотически забавных картинках в Твиттере, где зритель сам "додумывает" правильные выводы.

Это даже есть в их Юзер Агрименте.

"Мы не ответственны за сбор информации по вашим транзакциям, её структурирорвание и за уплату налогов" - пишут юристы Трезора.

Только вот, зачем упоминать налоговую, если не собираешься дампить данные своих клиентов, которые у тебя так удобно собраны и структурированы на централизованных серверах Blockbook?

Никто в крипте не ожидает, что слитие данных в налоговую идёт через персональные кошельки. Все привыкли бояться лишь “договорняков” между налоговой и популярными криптобиржами.

Чтобы сохранить капитал в долгосрок, вы должны знать всё о своём кошельке.

#trezor

👹Руснак ендорсит Лину Сейче, фанатку кошелька Trezor, нарисовавшую комикс про уход от налогов

Два Трезора, "случайно уроненные в море", видят как человек на яхте роняет Трезор в воду.

"Видимо, снова настал сезон уплаты налогов" - подмечает Trezor Safe 5 со дна моря.

Внизу яркое лого Трезора, подпись художницы неразличима без зума.

Забавный маркетинг для компании, направляющей транзы клиентов через централизованный бекенд, код которого на GitHub лежит в папке "Trezor адреса/аккаунты балансовый бекенд".

Подумаешь, сервера трекают балансы и транзакции по адресам юзеров, предварительно купивших валлет на своё реальное имя.

Подумаешь, кошелёк юзает блокчейн индексировщик, который они же сами создали.

Как эта централизация может помочь вашей местной налоговой? Ну вот как?

#trezor

Когда осознал, что большинство крипто кошельков шпионят за своими юзерами и сливают сиды на сервера разработчиков.

Знают ли каждыймогеры, "воркающие в блокчейне Solana", что их монетки могут исчезнуть в любой момент?

Издание Protos рапортует 28 октября 2024 года о странном "уходе в оффлайн" популярного кошелька для Solana под названием Phantom.

"Phantom Wallet, один из популярнейших кошельков для Solana, "в данный момент испытывает аптайм инцидент" (аптайм инцидент... ага).

Официальный акк в X призвал юзеров "которым срочно надо делать транзакции, пожалуйста игнорировать всплывающие ошибки и использовать dApp". Страница статуса описывала нерабочесть кошелька словами "крупный инцидент", с указанием в заметках, что "бекенд кошелька, похоже, упал".

Согласно истории инцидентов, в последний раз аналогичное случалось 3 октября. Сrunchbase утверждает, что Phantom Wallet собрал около 118 млн баксов от инвесторов, включая Андреессен Хоррорвиц (A16z) и Paradigm."

Как думаете, кто нибудь из владельцев Соланы задумался, что это значит? У меня нет соланы, а я задумался. Крепко так.

Читаем репорт Protos от 4 декабря 2024 года:

"Библиотека для разработки приложений на Солана web3.js скомпрометирована, чтобы красть приватные ключи."

"Библиотека разработки web3.js была скомпрометирована вчера в ходе атаки цепочки поставок, которая установила вредоносный код, способный воровать приватные ключи юзеров и красть их крипту.

Про атаку сообщил разработчик Соланы под никнеймом "Trentdotsol. Он указал, что уязвимость была проинсталлирована в версии 1.95.6 и 1.95.7 библиотеки.

С того момента, волна разрабов на Солане пришли в обсуждение и подтвердили, что их продукты не попали под удар. Эксплоит не смог украсть деньги у юзеров Phantom, Solflare, и Helium.

Репорты пишут, что разрабы, которые досматривают библиотеку, могли стать жертвой фишинговой кампании, и хакеры получили доступ к "аккаунту с доступом публикации". Через этот аккаунт, атакующие внедрили крадуна приватных ключей сразу в две версии библиотеки. Им стала функция 'addToQueue', которая под соусом получения заголовков с Cloudflare (ой йооооой), украла у юзеров Соланы почти 160000 баксов (согласно Solscan)."

~

А классно, что у всех этих разрабов кошельков никогда нет настоящего имени, а только никнеймы, правда же? О да, это выглядит супер обнадёживающе. В особенности, когда я в 5000й раз с 2014 слышу про "фишинговую атаку", на которую якобы повёлся опытный разраб.

Ну реально. Ну сколько ж можно кормить криптанов этой фантастической дичью?

Если вашу крипту до сих пор не украли, это потому, что вам очень повезло, а не потому, что у вас надёжный кошелёк. Но, чтобы не полагаться на везение, присоединяйтесь к Кул Пиплам, получите доступ к моему Исследованию Безопасного Хранения Крипты (на некастодиальных кошельках), и будьте уверены в долгосрочной сохранности своего крипто капитала.

~
#bqwallets

Итак "надёжные партнёры Ledger":

Changelly, контора, о "дурной славе" которой я впервые узнал ещё аж в 2019.

Уже тогда, форум Reddit разрывался от десятков, а может сотен, отзывов о "вечном KYC", в особенности когда дело касалось XMR (о чём есть куча тем в сабреддите, посвящённом Monero).

А также, это FTX, о которой за пол года до коллапса стало понятно, что это Понци (я предупреждал вас о стрёмности Сэма).

Но знаете, кто там ещё?

Дырявый кошелёк Exodus 🥹, который собирает сидки и е-мейлы своих юзеров + является чемпионом по взломам,

и

THORSwap, фаундеры которого недавно спиздили у своего сообщества 200 лямов баксов, после чего команда Ledger, очевидно, и решила их "онборднуть" (посмотрите дату пресс-релиза, 13 января 2025, месяц после сбрития адресов ТОРЧейна). 😱

Как думаете, насколько высока вероятность, что бизнес партнёры Леджера являются отражением их собственной сути?

Сколько лежит на вашем Леджере прямо сейчас?

Фаундер Леджера, возможно, уже давно облизывается на вашу "котлету".

#ledger