HOY VAMOS A FAZER UM THREAD CURTO SOBRE TANGEM. "Tangem apela para o denominador comum mais baixo no mundo das criptomoedas, por isso está cheio de bagholders de $XRP, $KAS e afiliados pagos com amendoins para fazer shilling. Hoje vou deixar isso simples para que as pessoas entendam. Em dezembro de 2024, a @Tangem teve uma vulnerabilidade crítica em que seu aplicativo móvel gravava AS CHAVES PRIVADAS dos usuários em logs anexados a e-mails de suporte. Eles removeram postagens de alerta precoce no Reddit. Antes que digam 'muh sem seed, muh seguro', sim, suas chaves nunca tocam o aplicativo. Suas TRANSAÇÕES tocam a cada maldita vez. O vetor de ataque é O PRÓPRIO APLICATIVO e o SO em que ele roda. Continue lendo. A Falácia do Nirvana da Tangem é: os cinturões de segurança falharam ocasionalmente, então remova-os. Erro de assinatura clara na Ledger/Trezor: no pior caso, a tela mente sobre os parâmetros da transação. O design da Tangem: a tela (do telefone) pode mentir sobre as transações como padrão permanente. >"Implante de Hardware" Os implantes físicos precedem o Bitcoin. São agnósticos ao dispositivo. O telefone em que o aplicativo da Tangem roda também poderia ter um implante, e daí? O "Tangem Genuine Check" já foi explorado pela Ledger. Cartões Tangem falsificados não são apenas teóricos: https://t.co/weL2RZwpWw >"Erros de Assinatura Clara" Erros de assinatura clara são falhas de uma camada que Tangem nem sequer possui. Tangem assina qualquer payload que o aplicativo lhe passe, sempre, por design. Airbags de carros têm defeitos, mesmo os da Toyota, o fabricante de carros mais confiável que existe. A solução da Tangem é remover completamente os airbags. Vulnerabilidades da Ledger e Trezor são corrigidas rotineiramente. Nunca poderá corrigir seu vetor a laser: https://t.co/bu4FLwrKNM 0 vetor de falha: https://t.co/oIev1NIF3A ...porque não há canal de atualizações para os usuários. Sua página de segurança ainda anuncia resistência a "tentativas de injeção de falhas". O ataque a laser da Donjon É injeção de falhas. Funciona e é irreparável por você. [Momento Eureka] Erros de assinatura clara da @Ledger e @Trezor eram detectáveis PORQUE a tela confiável pode auditar contra o que assina. No modelo da Tangem, não há nada para auditar. Leia isso novamente devagar porque é fácil ignorar. É evidência de que a arquitetura é testável. Ledger/Trezor é como um banco que publica contas auditadas. Ocasionalmente, terá um auditor que descubra um erro: 1. Constrói uma transação. 2. Registra o que o dispositivo mostra. 3. Registra o que o dispositivo realmente assina (a assinatura revela exatamente o que foi assinado). 4. Compara os dois. Tangem é um banco que não mantém livros. Portanto, nunca será encontrado um erro contábil: 1. Constrói uma transação. 2. Registra o que o aplicativo mostra. 3. Registra o que o cartão assina. 4. Diferem: o aplicativo mostrou um endereço, o cartão assinou outro. No caso da Tangem, não há vulnerabilidade porque a Tangem nunca prometeu que essas duas coisas deveriam coincidir. O cartão assina qualquer payload que o aplicativo lhe passe. O sistema funciona exatamente como foi projetado. É o comportamento padrão para um SO comprometido. >"E mais componentes de hardware podem introduzir mais vetores de ataque." Então sua solução para uma tela confiável construída intencionalmente, impulsionada por firmware mínimo (Ledger/Trezor) é um smartphone completo, rodando um SO completo, com milhões de linhas de código e vetores de ataque. Ótimo. >"muh app endurecida de segurança" Você nunca respondeu à minha postagem original aqui porque não pode: https://t.co/MG6h64o3sE A Tangem também foi auditada pela Riscure em 2023, mas mesmo assim você foi infectado depois pela Ledger: https://t.co/L6jOc2g67C Nem Apple nem Google conseguem defender um aplicativo contra um exploit a nível de kernel em seu próprio SO, por isso Ledger/Trezor nem tentam. Eles verificam FORA do raio de explosão. Seu "aplicativo endurecido" vive dentro dele. [Últimos Exploits] Veja os vídeos anexados, há toneladas mais que não incluí. Você nem tem dinheiro, nem recursos, nem experiência para se defender contra exploits do SO. Quantos dos seus usuários estão sequer usando a série Pixel 8 e posteriores, ou a série iPhone 17 e posteriores? Isso também importa muito. Sua camada de "aplicativo" está morta ao chegar. Ledger & Trezor fornecem mitigação onde você não pode. Tangem é mais parecido com uma carteira de software porque confia implicitamente em um SO comprometido. O elemento seguro é teatro, já que o cartão assinará qualquer coisa que lhe for passada." https://t.co/2rdNCI7JiG