اليوم نتحدث عن موجز قصير من تانجم. "تانجم تستهدف أدنى مستوى مشترك في عالم العملات المشفرة، ولذلك فهي مليئة بحاملي العملات غير المربحة مثل $XRP و $KAS ومؤيدين مدفوعين بفول سوداء للترويج. اليوم سأبسط الأمر حتى يفهمه الجميع. في ديسمبر 2024، كان لدى @Tangem ثغرة حرجة حيث كانت تطبيقاتها المحمولة تكتب المفاتيح الخاصة للمستخدمين في سجلات تُرفق برسائل الدعم. لقد قاموا بحذف منشورات التحذير المبكرة على Reddit. قبل أن تقولوا 'muh بدون بذور، muh آمن'، نعم، مفاتحكم لا تلامس التطبيق أبدًا. لكن معاملاتك تلامسه كل مرة ملعونة. متجه الهجوم هو التطبيق نفسه ونظام التشغيل الذي يعمل عليه. استمر في القراءة. خرافة نيرفانا لتانجم هي: لقد فشلت أحزمة الأمان أحيانًا، لذا ارمها جميعًا. خطأ توقيع واضح في Ledger/Trezor: في أسوأ الحالات، تكذب الشاشة حول معلمات المعاملة. تصميم تانجم: الشاشة (الهاتف) يمكن أن تكذب حول المعاملات كأساس دائم. >"الزرع المادي" الزرع المادي يسبق البيتكوين. إنه لا يميز بين الأجهزة. قد يكون هاتفك الذي يعمل عليه تطبيق تانجم مزروعًا أيضًا، فماذا إذًا؟ تم استغلال "فحص تانجم الأصلي" بالفعل من قبل Ledger. البطاقات المزيفة من تانجم ليست مجرد نظرية: https://t.co/weL2RZwpWw >"أخطاء التوقيع الواضح" أخطاء التوقيع الواضح هي فشل في طبقة لا تمتلكها تانجم أصلاً. تانجم توقّع أي حمولة تُمررها لها التطبيق، في كل مرة، وذلك بتصميم. أكياس الهواء في السيارات لديها عيوب، حتى في تويوتا، أكثر شركة سيارات موثوقة على الإطلاق. حل تانجم هو إزالة أكياس الهواء تمامًا. ثغرات Ledger و Trezor يتم إصلاحها بانتظام. لن تستطيع أبدًا إصلاح متجه الليزر الخاص بك: https://t.co/bu4FLwrKNM 0 متجه تمزق: https://t.co/oIev1NIF3A ...لأنه لا يوجد قناة تحديثات للمستخدمين. لا تزال صفحة الأمان الخاصة بك تعلن مقاومة "محاولات حقن الأخطاء". هجوم الليزر من Donjon هو حقن أخطاء. وهو فعّال ولا يمكن إصلاحه من قِبلك. [لحظة يوريكا] كانت أخطاء التوقيع الواضح من @Ledger و @Trezor قابلة للاكتشاف لأن الشاشة الموثوقة يمكنها التحقق من ما تم توقيعه. في نموذج تانجم، لا يوجد شيء للتحقق منه. اقرأ ذلك مرة أخرى ببطء لأنه من السهل تجاوزه. هذا دليل على أن البنية قابلة للاختبار. Ledger/Trezor مثل بنك ينشر حسابات مدققة. ستكون هناك أحيانًا مدقق يكتشف خطأً: 1. يبني معاملة. 2. يسجل ما تعرضه الجهاز. 3. يسجل ما يوقّعه الجهاز فعليًا (التوقيع يكشف بالضبط ما تم توقيعه). 4. يقارن بين الاثنين. تانجم هي بنك لا يحتفظ بسجلات. وبالتالي لن يُكتشف أبدًا خطأ محاسبي: 1. يبني معاملة. 2. يسجل ما تعرضه التطبيق. 3. يسجل ما توقّعه البطاقة. 4. تختلفان: عرض التطبيق عنوانًا، ووقّعت البطاقة عنوانًا آخر. في حالة تانجم، لا توجد ثغرة لأن تانجم لم تعدم أبدًا أن هاتين النقطتين يجب أن تت совпадают. البطاقة توقّع أي حمولة تُرسل إليها التطبيق. النظام يعمل تمامًا كما هو مصمم. إنه السلوك الافتراضي لنظام تشغيل مخترق. >"ويمكن لمكونات الأجهزة الإضافية أن تُدخل متجهات هجوم إضافية." إذًا فإن حلّك لشاشة موثوقة مصممة خصيصًا تعمل ببرنامج ثابت محدود (Ledger/Trezor) هو هاتف ذكي كامل، يعمل بنظام تشغيل كامل، بملايين الأسطر من التعليمات البرمجية ومتجهات هجوم. رائع. >"muh تطبيق مُعزّز للأمان" لم تجب أبدًا على منشوري الأصلي هنا لأنك لا تستطيع: https://t.co/MG6h64o3sE تمت مراجعة تانجم أيضًا من قبل Riscure في عام 2023، ومع ذلك لا يزالون قد استغلوك بعد ذلك عبر Ledger: https://t.co/L6jOc2g67C حتى Apple و Google لا يستطيعان الدفاع عن تطبيق ضد استغلال على مستوى النواة في نظام التشغيل الخاص بهما، ولذلك فإن Ledger/Trezor لا تحاول ذلك. إنها تتحقق خارج نطاق الانفجار. "تطبيقك المُعزّز" يعيش داخله. [أحدث الاستغلالات] انظر إلى الفيديوهات المرفقة، هناك العشرات التي لم أدرجها. ليس لديك المال أو الموارد أو الخبرة للدفاع ضد استغلالات نظام التشغيل. كم عدد مستخدميك الذين يستخدمون على الأقل سلسلة Pixel 8 وما بعدها، أو سلسلة iPhone 17 وما بعدها؟ هذا مهم جدًا أيضًا. طبقتك من "التطبيق" ميتة منذ لحظة وصولها. Ledger & Trezor توفران التخفيف حيث لا يمكنك أنت. تانجم أقرب إلى محفظة برمجية لأنها تعتمد ضمنيًا على نظام تشغيل مخترق. العنصر الآمن هو تمثيل لأن البطاقة ستوقّع أي شيء يُرسل إليها." https://t.co/2rdNCI7JiG