HARI INI SAYA AKAN MEMBONGKAR TANGEM. "Tangem mengandalkan dasar terendah di dunia kripto, sehingga penuh dengan bagholder $XRP, $KAS, dan afiliasi yang dibayar dengan kacang untuk mempromosikan produknya. Hari ini saya akan membuatnya sederhana agar orang-orang mengerti. Pada Desember 2024, @Tangem mengalami kerentanan kritis di mana aplikasi seluler mereka menulis KUNCI PRIBADI pengguna ke dalam log yang dilampirkan ke email dukungan. Mereka menghapus postingan peringatan dini di Reddit. Sebelum Anda berkata 'muh tanpa seed, muh aman', ya, kunci Anda tidak pernah menyentuh aplikasi. TRANSAKSI Anda menyentuhnya setiap kali. Vektor serangannya adalah APLIKASI ITU SENDIRI dan OS tempat ia berjalan. Lanjutkan membaca. Falasi Nirvana Tangem adalah: sabuk pengaman kadang-kadang gagal, jadi lepaskan saja. Kesalahan tanda tangan jelas di Ledger/Trezor: dalam kasus terburuk, layar berbohong tentang parameter transaksi. Desain Tangem: layar (ponsel) bisa berbohong tentang transaksi sebagai standar permanen. >"Implan Perangkat Keras" Implan fisik sudah ada sebelum Bitcoin. Mereka agnostik terhadap perangkat. Ponsel tempat aplikasi Tangem berjalan juga bisa memiliki implan, lalu apa? "Tangem Genuine Check" sudah dieksploitasi oleh Ledger. Kartu Tangem palsu bukan hanya teoretis: https://t.co/weL2RZwpWw >"Kesalahan Tanda Tangan Jelas" Kesalahan tanda tangan jelas adalah kegagalan pada lapisan yang bahkan tidak dimiliki Tangem. Tangem menandatangani setiap payload yang diberikan aplikasi kepadanya, setiap kali, secara desain. Airbag mobil memiliki cacat, bahkan dari Toyota, produsen mobil paling dapat dipercaya di dunia. Solusi Tangem adalah menghapus airbag sepenuhnya. Kerentanan Ledger dan Trezor diperbaiki secara rutin. Anda tidak akan pernah bisa memperbaiki vektor laser Anda: https://t.co/bu4FLwrKNM 0 vektor robek: https://t.co/oIev1NIF3A ...karena tidak ada saluran pembaruan untuk pengguna. Halaman keamanan Anda masih mengklaim ketahanan terhadap "upaya injeksi kesalahan". Serangan laser Donjon ADALAH injeksi kesalahan. Ini berfungsi dan tidak bisa diperbaiki oleh Anda. [Momen Eureka] Kesalahan tanda tangan jelas di @Ledger dan @Trezor dapat ditemukan KARENA layar tepercaya dapat diaudit terhadap apa yang ditandatangani. Dalam model Tangem, tidak ada yang bisa diaudit. Baca ulang itu perlahan karena mudah dilewatkan. Ini bukti bahwa arsitektur itu dapat diuji. Ledger/Trezor seperti bank yang menerbitkan laporan audit. Sesekali akan ada auditor yang menemukan kesalahan: 1. Membuat transaksi. 2. Mencatat apa yang ditampilkan perangkat. 3. Mencatat apa yang benar-benar ditandatangani perangkat (tanda tangan mengungkap persis apa yang ditandatangani). 4. Bandingkan keduanya. Tangem adalah bank yang tidak menyimpan buku. Oleh karena itu, kesalahan akuntansi tidak akan pernah ditemukan: 1. Membuat transaksi. 2. Mencatat apa yang ditampilkan aplikasi. 3. Mencatat apa yang ditandatangani kartu. 4. Berbeda: aplikasi menampilkan alamat, kartu menandatangani alamat lain. Dalam kasus Tangem, tidak ada kerentanan karena Tangem tidak pernah berjanji bahwa kedua hal ini harus cocok. Kartu menandatangani setiap payload yang diberikan aplikasi. Sistem bekerja persis seperti yang dirancang. Ini adalah perilaku default untuk OS yang dikompromikan. >"Dan lebih banyak komponen perangkat keras dapat memperkenalkan lebih banyak vektor serangan." Jadi solusi Anda terhadap layar tepercaya yang dirancang khusus dengan firmware minimal (Ledger/Trezor) adalah smartphone lengkap, menjalankan OS lengkap, dengan jutaan baris kode dan vektor serangan. Hebat. >"muh aplikasi yang diperkuat keamanannya" Anda tidak pernah menjawab posting asli saya di sini karena Anda tidak bisa: https://t.co/MG6h64o3sE Tangem juga diaudit oleh Riscure pada 2023, namun tetap saja Anda dibobol oleh Ledger: https://t.co/L6jOc2g67C Bahkan Apple atau Google tidak bisa melindungi aplikasi dari eksploit tingkat kernel di OS mereka sendiri, itulah sebabnya Ledger/Trezor tidak mencobanya. Mereka memverifikasi DI LUAR radius ledakan. "Aplikasi Anda yang diperkuat" hidup di dalamnya. [Eksploit Terbaru] Lihat video yang dilampirkan, ada banyak lagi yang tidak saya sertakan. Anda tidak punya uang, sumber daya, atau pengalaman untuk melindungi diri dari eksploit OS. Berapa banyak pengguna Anda bahkan menggunakan seri Pixel 8 dan seterusnya, atau seri iPhone 17 dan seterusnya? Itu juga sangat penting. Lapisan "aplikasi" Anda mati sejak awal. Ledger & Trezor menyediakan mitigasi di mana Anda tidak bisa. Tangem lebih mirip dompet perangkat lunak karena secara implisit mempercayai OS yang dikompromikan. Elemen amannya adalah teater karena kartu akan menandatangani apa pun yang diberikan kepadanya." https://t.co/2rdNCI7JiG