СЕГОДНЯ — КОРОТКАЯ НИТЬ О TANGEM. «Tangem обращается к самому низкому общему знаменателю в мире криптовалют, поэтому он полон bagholders $XRP, $KAS и оплаченных аффилиатов, которые шиллингят за пустяки. Сегодня я сделаю это просто, чтобы люди поняли. В декабре 2024 года у @Tangem была критическая уязвимость: их мобильное приложение записывало ПРИВАТНЫЕ КЛЮЧИ пользователей в логи, которые прикреплялись к письмам техподдержки. Они удалили ранние предупреждающие посты на Reddit. Прежде чем вы скажете "muh без семян, muh безопасно" — да, ваши ключи никогда не касаются приложения. ВАШИ ТРАНЗАКЦИИ касаются его каждый чертов раз. Вектор атаки — ЭТО САМО ПРИЛОЖЕНИЕ и ОС, на которой оно работает. Продолжайте читать. Фальшивая логика Tangem: ремни безопасности иногда ломаются, поэтому давайте их уберём. Чёткая ошибка подписи в Ledger/Trezor: в худшем случае экран обманывает вас относительно параметров транзакции. Дизайн Tangem: экран (телефона) может обманывать вас относительно транзакций как базовое, постоянное состояние. >«Аппаратный имплант» — аппаратные импланты существовали ещё до Bitcoin. Они не зависят от устройства. Телефон, на котором работает приложение Tangem, тоже может иметь имплант — и что тогда? «Tangem Genuine Check» уже был эксплуатирован Ledger. Поддельные карты Tangem — не просто теория: https://t.co/weL2RZwpWw >«Чёткие ошибки подписи» — чёткие ошибки подписи — это сбой на уровне, которого у Tangem вообще нет. Tangem подписывает любой payload, который ему передаёт приложение — каждый раз, по дизайну. Подушки безопасности в автомобилях иногда выходят из строя — даже у Toyota, самого надёжного производителя автомобилей в мире. Решение Tangem — полностью убрать подушки безопасности. Уязвимости Ledger и Trezor регулярно патчатся. Вы никогда не сможете запатчить свой лазерный вектор: https://t.co/bu4FLwrKNM 0 вектора разрыва: https://t.co/oIev1NIF3A... потому что у пользователей нет канала обновлений. Ваша страница безопасности до сих пор заявляет об устойчивости к «попыткам инъекции сбоев». Лазерная атака Donjon — это именно инъекция сбоев. Она работает и непоправима для вас. [Момент Эврики] Чёткие ошибки подписи @Ledger и @Trezor были обнаружены ПОТОМУ ЧТО надёжный экран может проверить то, что было подписано. В модели Tangem нечего проверять. Прочитайте это ещё раз медленно — легко пропустить. Это доказательство того, что архитектура проверяема. Ledger/Trezor — как банк, публикующий аудитируемые счета. Иногда у них найдётся аудитор, который обнаружит ошибку: 1. Создаёт транзакцию. 2. Записывает, что показывает устройство. 3. Записывает, что устройство реально подписало (подпись показывает точно, что было подписано). 4. Сравнивает два значения. Tangem — это банк, который не ведёт книг. Поэтому ошибка в бухгалтерии никогда не будет обнаружена: 1. Создаёт транзакцию. 2. Записывает, что показывает приложение. 3. Записывает, что подписала карта. 4. Они отличаются: приложение показало один адрес, карта подписала другой. В случае Tangem нет уязвимости, потому что Tangem никогда не обещал, что эти две вещи должны совпадать. Карта подписывает любой payload, который ей передаёт приложение. Система работает именно так, как задумана. Это поведение по умолчанию для скомпрометированной ОС. >«И ещё больше аппаратных компонентов могут добавить больше векторов атаки». Тогда ваше решение — надёжный экран, специально созданный на минимальном прошивочном коде (Ledger/Trezor) — это целый чертов смартфон, работающий на полной ОС с миллионами строк кода и векторами атаки. Отлично. >«muh защищённое приложение» Вы так и не ответили на мой первоначальный пост здесь, потому что не можете: https://t.co/MG6h64o3sE Tangem также проходил аудит Riscure в 2023 году — но всё равно вас подставили после Ledger: https://t.co/L6jOc2g67C Даже Apple или Google не могут защитить приложение от эксплойта на уровне ядра их собственной ОС — поэтому Ledger/Trezor этого даже не пытаются. Они проверяют ВНЕ зоны поражения. Ваше «защищённое приложение» живёт ВНУТРИ неё. [Последние эксплойты] Посмотрите приложенные видео — их ещё масса, которые я не включил. У вас нет ни денег, ни ресурсов, ни опыта для защиты от эксплойтов ОС. Сколько ваших пользователей даже используют Pixel 8 и новее или iPhone 17 и новее? Это тоже очень важно. Ваш слой «приложения» мёртв с самого начала. Ledger & Trezor обеспечивают смягчение рисков там, где вы не можете. Tangem скорее похож на кошелёк программного обеспечения, потому что он безоговорочно доверяет скомпрометированной ОС. Безопасный элемент — театр, потому что карта подпишет всё, что ей передадут». https://t.co/2rdNCI7JiG