HOY VA DE HILO CORTO DE TANGEM. "Tangem apela al denominador común más bajo en el mundo de las criptomonedas, por eso está lleno de bagholders de $XRP $KAS y afiliados pagados con cacahuetes para hacer shilling. Hoy voy a hacerlo simple para que la gente lo entienda. En diciembre de 2024, @Tangem tuvo una vulnerabilidad crítica en la que su app móvil escribía las CLAVES PRIVADAS de los usuarios en logs que se adjuntaban a correos de soporte. Eliminaron publicaciones de advertencia temprana en Reddit. Antes de que digan "muh sin semillas, muh seguro", sí, tus claves nunca tocan la app. Tus TRANSACCIONES la tocan cada maldita vez. El vector de ataque es la APP EN SÍ y el SO en el que corre. Sigue leyendo. La Falacia del Nirvana de Tangem es: los cinturones de seguridad han fallado ocasionalmente, por lo tanto, quítalos. Error de firma clara en Ledger/Trezor: en el peor caso, la pantalla miente sobre los parámetros de la transacción. El diseño de Tangem: la pantalla (del teléfono) puede mentir sobre las transacciones como línea base permanente. >"Implante de Hardware" Los implantes físicos preceden a Bitcoin. Son agnósticos al dispositivo. El teléfono en el que corre la app de Tangem podría tener un implante también, ¿y entonces qué? El "Tangem Genuine Check" ya fue explotado por Ledger. Las tarjetas Tangem falsificadas no son solo teóricas: https://t.co/weL2RZwpWw >"Errores de Firma Clara" Los errores de firma clara son un fallo de una capa que Tangem ni siquiera tiene. Tangem firma cualquier payload que la app le pase, cada vez, por diseño. Los airbags de los autos tienen defectos, incluso de Toyota, el fabricante de autos más confiable que existe. La solución de Tangem es eliminar los airbags por completo. Las vulnerabilidades de Ledger y Trezor se parchean rutinariamente. Nunca podrás parchear tu vector láser: https://t.co/bu4FLwrKNM 0 vector de desgarro: https://t.co/oIev1NIF3A ...porque no hay canal de actualizaciones para los usuarios. Tu página de seguridad todavía anuncia resistencia a "intentos de inyección de fallos". El ataque láser de Donjon ES inyección de fallos. Funciona y es irreparable por ti. [Eureka Moment] Los errores de firma clara de @Ledger y @Trezor eran descubribles PORQUE la pantalla confiable puede auditar contra lo que firma. En el modelo de Tangem, no hay nada que auditar. Lee eso de nuevo lentamente porque es fácil pasarlo por alto. Es evidencia de que la arquitectura es testable. Ledger/Trezor es como un banco que publica cuentas auditadas. Ocasionalmente tendrá un auditor que encuentre un error: 1. Construye una transacción. 2. Registra lo que el dispositivo muestra. 3. Registra lo que el dispositivo firma realmente (la firma revela exactamente qué se firmó). 4. Compara los dos. Tangem es un banco que no lleva libros. Por lo tanto, nunca se encontrará un error contable: 1. Construye una transacción. 2. Registra lo que la app muestra. 3. Registra lo que la tarjeta firma. 4. Difieren: la app mostró una dirección, la tarjeta firmó otra. En el caso de Tangem, no hay vulnerabilidad porque Tangem nunca prometió que esas dos cosas debieran coincidir. La tarjeta firma cualquier payload que la app le pase. El sistema funciona exactamente como está diseñado. Es el comportamiento por defecto para un SO comprometido. >"Y más componentes de hardware pueden introducir más vectores de ataque." Entonces tu solución a una pantalla confiable construida a propósito impulsada por firmware mínimo (Ledger/Trezor) es un maldito smartphone completo, corriendo un SO completo, con millones de líneas de código y vectores de ataque. Genial. >"muh app endurecida de seguridad" Nunca respondiste a mi publicación original aquí porque no puedes: https://t.co/MG6h64o3sE Tangem también fue auditado por Riscure en 2023, sin embargo, aún así te fumaron después por Ledger: https://t.co/L6jOc2g67C Ni siquiera Apple o Google pueden defender una app de un exploit a nivel de kernel en su propio SO, por eso Ledger/Trezor no lo intentan. Verifican FUERA del radio de explosión. Tu "app endurecida" vive dentro de él. [Latest Exploits] Mira los videos adjuntos, hay toneladas más que no incluí. No tienes ni el dinero, ni los recursos, ni la experiencia para defenderte de exploits del SO. ¿Cuántos de tus usuarios están siquiera usando la serie Pixel 8 y posteriores, o la serie iPhone 17 y posteriores? Eso importa mucho también. Tu capa de "app" está muerta al llegar. Ledger & Trezor proporcionan mitigación donde tú no puedes. Tangem es más akin a una billetera de software porque confía implícitamente en un SO comprometido. El elemento seguro es teatro ya que la tarjeta firmará cualquier cosa que se le pase." https://t.co/2rdNCI7JiG