Главное, это что разрабы говорят нам то, что мы хотим услышать: постоянно намекают, что в Trezor можно легко уклоняться от налоговой.

Дело не только в гипнотически забавных картинках в Твиттере, где зритель сам "додумывает" правильные выводы.

Это даже есть в их Юзер Агрименте.

"Мы не ответственны за сбор информации по вашим транзакциям, её структурирорвание и за уплату налогов" - пишут юристы Трезора.

Только вот, зачем упоминать налоговую, если не собираешься дампить данные своих клиентов, которые у тебя так удобно собраны и структурированы на централизованных серверах Blockbook?

Никто в крипте не ожидает, что слитие данных в налоговую идёт через персональные кошельки. Все привыкли бояться лишь “договорняков” между налоговой и популярными криптобиржами.

Чтобы сохранить капитал в долгосрок, вы должны знать всё о своём кошельке.

#trezor

Ваши данные на 100% анонимны

До тех пор, пока к нам не придёт запрос от вашего правительства насчёт тех миллионов, которые вы храните на нашем прекрасном кошельке Trezor. 😅

Знаете, что скрыто от взора на скрине выше? Вы бы ни за что не догадались, если бы я не сказал вам.

Обещания "100% анонимности", "100% безопасности" и "100% власти над монетами" висели в самом верху официального сайта Трезор в течение нескольких лет.

До них дошло, какой это колоссальный проёб в плане возможных судебных исков, лишь в январе 2025 года.

Хорошо, что я люблю всё скриншотить. Успел задокументировать эту секцию вебсайта для вас, буквально за пару месяцев до её сноса.

Возможно, это единственная копия такого скриншота на всей планете. Доказывающего, какие же чуваки с Трезора брехуны.

#trezor

🧪Использование паролей от 14 символов везде, где только можно, должно стать для вас Принципом

Сделайте своим Принципом - везде ставить пароли от 14 символов. Поменяйте пароль на всех учётках, на которых сейчас пароль меньше 14 символов. Я знаю, что у вас есть такие учётки, и что ваш 2FA пароль в Телеграме, скорее всего, выглядит как "1234". У половины читателей 2FA в Телеграм может быть даже не настроена.

Не ленитесь. Рано или поздно, намеренно или случайно, вы нажмёте на какую-то дрянь. Все нажимали, даже я.

Убытки от нарушения принципов и выгоды от соблюдения их могут прийти не сразу и быть незаметными. Но в какой-то момент будущего - вы осознаете.

👹Байбит взломан на 1+ миллиард долларов в Эфириуме

Хакер взломал один из холодных мультисигов Байбита, завладев доступом к 401346 ETH, или 1+ млрд баксов. Гендир биржи, Бен Чжоу, сообщил в X менее, чем через час после взлома, что:

1. Хакер смог убедить персонал Байбита, что они подписывают мультисиг транзу, тогда как на деле это была команда на изменение свойств смарт-контракта
2. Все другие холодные кошельки Байбита в порядке
3. Горячие кошельки тоже в порядке
4. Выводы работают в стандартном режиме
5. Взломан был только один из нескольких холодных ETH адресов

Он сообщает, что "Байбит платежеспособна, и если средства не удастся вернуть, все активы клиентов подкреплены 1 к 1, мы можем покрыть потерю."

Скоро в X Бен проведёт лайвстрим и ответит на все вопросы.

Цена Эфира уже просела на 100+ долларов, по крипточатам пошли сообщения шокированных трейдеров про угон с Байбита МИЛЛИАРДА баксов в ETH.

Странно в этом кейсе то, как гендир уже через 30 минут настрочил детальное описание архитектуры хака. Как будто он уже знал, как хак был проведён.

Также интересно, что в "супер защищённом" холодном мульти-сиг сетапе биржи крылась такая простая уязвимость, как возможность превращения запроса на подпись транзакции в команду изменения смарт-контракта. Смарт-контракты Эфириума это всегда повышенный риск, даже если вы имеете дело с мульти-сигами. В каждом кошельке для крипты есть целый ряд разных векторов атаки, о которых нужно знать, чтобы ваша крипта оставалась при вас.

Обещания Чжоу "покрыть" миллиард баксов какими-то мифическими Резервами Биржи, которые всё подкрепляют "1 к 1", выглядит сомнительно. Разве может быть такое, что биржа хранит дополнительные 12 миллиардов долларов криптой и фиатом лишь с целью страхования 1 к 1 уже имеющихся на её балансах 12 миллиардов долларов криптой и фиатом?

Откуда конкретно он возьмёт этот лярд компенсации?

PS. Обратите внимание, как никто из телеграм админов не пишет в своих постах сумму взломанного. Это потому, что у всех партнёрка с биржей и Байбит попросил "не светить цифрой". А у меня нет никаких партнёрок с биржами, поэтому я рассказываю вам Правду за донаты, репосты и реакции. Не дайте холодному сетапу со скрытой уязвимостью лишить вас всего капитала - залетайте в чат Cool People, получите доступ к моим закрытым Исследованиям и будьте уверены, что ваш кошелёк для крипты безопасен.

#bybithack

Это рука создателя некастодиального валлета Ledger

Зацените этого перца. А знаете, как выглядит его другая рука? Точно также.

Скрин сделан с подкаста Питера МакКормака, куда Паскаль Готье был приглашен обсудить суперфичу кошелька со сливом Фраз Восстановления юзеров "на хранение третьим лицам с авторизацией по паспорту".

Об этом прошлогоднем скандале с Леджером, я думаю, вы точно слышали.

#ledger

Также, как Safe Wallet хакнул ByBit, ваш валлет может хакнуть вас

Гендир Байбита дропнул "детальное расследование" недавнего взлома биржи, и оказывается, у них украли 1.4 лярда в ETH потому, что биржа держала монетки не на собственной инфраструктуре, а на web3 кошельке Safe Wallet. 👀

Этот кошелёк гендир биржи Бен Чжоу упомянул в своём первом посте, описывающем взлом биржи. Но на это почти никто не обратил внимания, даже я как-то "пропустил" это мимо глаз и ушей, хотя текст оригинала прямо указывал на Safe акк в Твиттере.

Согласно отчёту Bybit, взлом претерпела архитектура Мульти-Сига Safe Wallet, а не сама Bybit. Этот сторонний кошелёк располагает стек своих услуг на Облаке Amazon - AWS, где и хранились подгружаемые "на лету" скрипты по управлению кошельком.

Компьютер одного из разработчиков Safe был скомпрометирован, в результате хакер получил доступ к бекендам AWS и функциям Safe. Затем он внедрил в функционал валлета вредоносный JavaScript код, который был немедленно разослан всем пользователям платформы Safe в качестве обновления.

Этот вредоносный JS код, тем не менее, был нацелен конкретно на контрактный адрес криптобиржи Bybit. Код JS изменяет содержание транзакции во время подписи.

Bybit поделилась своим расследованием с публикой через DocSendCom (я не рекомендую вам открывать эти PDF-ки от сотрудников Байбита на своём рабочем девайсе). Смотрим ключевые детали:

👀 Детальное расследование всех сторон, использовавшихся в инициации и подписи транзакции, показало, что вредоносный JavaScript код был инжектирован в ресурс, подаваемый через Сеть с серверов кошелька Safe на Облаке Амазон.

👀 Облако Амазон записало время модификации ресурса, также имеются публично доступные архивы веб-истории. Всё это указало, что внедрение вредоносного JS кода было произведено напрямую в код Safe Wallet, лежащий на сервере AWS.

👀 Анализ внедрённого JS кода показывает, что его главной функцией было манипулирование транзакциями, что дало возможность изменять содержимое транзакций прямо во время процесса подписи.

👀 Также, анализ показал наличие во вредоносном JS коде условия, что активирует его лишь в случае взаимодействия с контрактом кошелька, принадлежащего Bybit.

👀 Через две минуты после того, как хакерская транзакция была выполнена и проведена, новые версии JS кода были загружены на Облако Amazon, эта обновлённая версия уже не содержала вредоносный код.

👀 Эти находки подразумевают, что атака произошла на стороне кошелька Safe, в инфраструктуре AWS.

👀 Расследование не обнаружило проблем безопасности на стороне биржи Bybit." 🤨

~
📡Что это всё значит, простым языком?

Уязвимость с пробросом трояна через обновления касается не только web3 кошельков и криптобирж с туповатыми фаундерами. Она касается любых некастодиальных кошельков в том числе, т.к. большинство из них подгружают функционал и данные с находящихся во владении фаундеров централизованных серверов. А вам врут, что "вы сами контролируете свои приватные ключи".

Чтобы знать, какие кошельки не занимаются подобными практиками, залетайте в Cool People и прокачивайте свои Знания о принципах работы крипто кошельков. Подробности в боте: @btcquestbot.

#bqwallets #bybithack

👹Гендир Bybit должен был знать, что сетап "холодного" кошелька его биржи - дерьмо

"Со всеми этими недавними утончёнными взломами, которые сейчас обсуждаются, всплыло множество разговоров про ✨прикольные сетапы и кошельки✨.

Да, вам бы следовало обдумать, при помощи чего и как именно вы подписываете транзакции.

Но выстраивание кастомного Юзер Интерфейса для вашего LAN Qubes OS, расположенного на серверах Amazon Web Services, которым вы пользуетесь каждый день... Это, в целом, нифига не выход. 😅"

#bqwallets #bybithack #multisig

👺Также обратите внимание, что любая организация может развернуть / заставить технарей внедрить EDR и другие меры, и должна бы делать это. Всё, никаких споров. Конец разговора.

Однако, крипто индустрия в целом считает это "не очень так идейкой" исходя из всех типов философских + практичных причин.

Так что, пока мы не стали идеальными, вот расклад:

Когда деревенщина утверждает "малварь" или "ой это троян", в обсуждении утончённой атаки, мы не имеем ввиду простой инфостилер, криптостилер, или другое дерьмо "общего назначения".

Атака утончённая потому, что должна быть такой.

Это не взлом, если они не смогут обойти Железные Валлеты и Мульти-Сиг валлеты.

Атакующие получают какой-то мелкий доступ, и затем используют его, чтобы в конце концов получить полный, удалённый доступ к вашему девайсу.

Это значит, что они могут читать и писать.

Это значит, что они могут видеть все ваши файлы, смотреть как вы работаете, читать ваши сообщения, использовать вашу клавиатуру, создавать новые файлы, и модифицировать уже существующие. 😱

#bqwallets #bybithack #multisig

🧣Вам и ПРАВДА необходимо защитить себя от попсовых крипто-крадунов

(НАЧНИТЕ УЖЕ ИСПОЛЬЗОВАТЬ ЖЕЛЕЗНЫЕ КОШЕЛЬКИ, ВЫ МАНЬЯКИ!!!!)

НО, если вы управляете Централизованной Криптобиржей (CEX), или протоколом, и вы в самом деле используете Железные Кошельки и Мульти-Сиги, вы играете против совершенно другого типа противника.

И такие противники - со стальными жопами. 😈

Ну, вообще, обычно, это целая команда стальных жоп. 😈😈😈😈😈

Которые внедряются и выясняют и схематозят и пишут вирусный код чтобы красть крипту, весь день, каждый день.

Когда они осознают, что вы на самом деле не владеете ключами от вашего лептопа... или от вашего AWS... или, что вы используете Мулти-Сиг...

#bqwallets #bybithack #multisig