HÔM NAY LÀ CHUỖI NGẮN CỦA TANGEM. "Tangem nhắm đến mức độ chung thấp nhất trong thế giới tiền mã hóa, vì vậy nó đầy rẫy những người giữ tài sản vô giá trị $XRP, $KAS và các tài khoản được trả tiền bằng đậu phộng để quảng bá. Hôm nay tôi sẽ đơn giản hóa để mọi người hiểu rõ. Vào tháng 12 năm 2024, @Tangem đã có một lỗ hổng nghiêm trọng khiến ứng dụng di động của họ ghi lại CÁC KHÓA RIÊNG của người dùng vào nhật ký được đính kèm vào email hỗ trợ. Họ đã xóa các bài đăng cảnh báo sớm trên Reddit. Trước khi bạn nói “muh không có seed, muh an toàn”, đúng, khóa riêng của bạn không bao giờ chạm vào ứng dụng. NHỮNG GIAO DỊCH của bạn thì chạm vào nó mỗi lần, mỗi lần. Vector tấn công là CHÍNH ỨNG DỤNG và hệ điều hành chạy nó. Hãy tiếp tục đọc. Sai lầm Nirvana của Tangem là: dây an toàn đôi khi thất bại, vậy nên hãy bỏ chúng đi. Lỗi ký rõ ràng trên Ledger/Trezor: trong trường hợp tệ nhất, màn hình lừa dối về các tham số giao dịch. Thiết kế của Tangem: màn hình (điện thoại) có thể lừa dối về giao dịch như một tiêu chuẩn vĩnh viễn. >“Thiết bị cấy ghép phần cứng” Các thiết bị cấy ghép vật lý tồn tại trước cả Bitcoin. Chúng không phụ thuộc vào thiết bị. Điện thoại chạy ứng dụng Tangem cũng có thể bị cấy ghép, vậy thì sao? “Tangem Genuine Check” đã từng bị Ledger khai thác. Các thẻ Tangem giả không chỉ là lý thuyết: https://t.co/weL2RZwpWw >“Lỗi ký rõ ràng” Lỗi ký rõ ràng là sự thất bại ở một lớp mà Tangem thậm chí không có. Tangem ký bất kỳ payload nào mà ứng dụng gửi cho nó, mỗi lần, theo thiết kế. Airbag ô tô cũng có lỗi, thậm chí cả của Toyota – nhà sản xuất ô tô đáng tin cậy nhất thế giới. Giải pháp của Tangem là loại bỏ hoàn toàn airbag. Các lỗ hổng của Ledger và Trezor được vá thường xuyên. Bạn sẽ không bao giờ có thể vá được vector laser của mình: https://t.co/bu4FLwrKNM 0 vector tấn công: https://t.co/oIev1NIF3A... bởi vì không có kênh cập nhật dành cho người dùng. Trang bảo mật của bạn vẫn tuyên bố khả năng chống lại “các nỗ lực tiêm lỗi”. Cuộc tấn công laser của Donjon CHÍNH LÀ tiêm lỗi. Nó hoạt động và bạn không thể sửa chữa được. [Khoảnh khắc Eureka] Lỗi ký rõ ràng của @Ledger và @Trezor có thể được phát hiện BỞI vì màn hình đáng tin cậy có thể kiểm tra ngược lại với những gì được ký. Trong mô hình Tangem, không có gì để kiểm tra. Đọc lại chậm rãi vì dễ bỏ qua. Đây là bằng chứng cho thấy kiến trúc có thể kiểm tra được. Ledger/Trezor giống như một ngân hàng công khai các tài khoản đã kiểm toán. Đôi khi sẽ có một kiểm toán viên phát hiện ra lỗi: 1. Xây dựng giao dịch. 2. Ghi lại những gì thiết bị hiển thị. 3. Ghi lại những gì thiết bị thực sự ký (chữ ký tiết lộ chính xác những gì đã được ký). 4. So sánh hai kết quả. Tangem là một ngân hàng không giữ sổ sách. Vì vậy, sẽ không bao giờ phát hiện ra lỗi kế toán: 1. Xây dựng giao dịch. 2. Ghi lại những gì ứng dụng hiển thị. 3. Ghi lại những gì thẻ ký. 4. Khác nhau: ứng dụng hiển thị một địa chỉ, thẻ ký một địa chỉ khác. Trong trường hợp Tangem, không có lỗ hổng vì Tangem chưa bao giờ hứa rằng hai điều này phải trùng nhau. Thẻ ký bất kỳ payload nào mà ứng dụng gửi cho nó. Hệ thống hoạt động đúng như thiết kế. Đó là hành vi mặc định khi hệ điều hành bị xâm phạm. >“Nhiều thành phần phần cứng hơn có thể tạo thêm vector tấn công.” Vậy giải pháp của bạn cho một màn hình đáng tin cậy được xây dựng đặc biệt, chạy firmware tối thiểu (Ledger/Trezor) là một chiếc smartphone hoàn chỉnh, chạy hệ điều hành đầy đủ với hàng triệu dòng mã và vector tấn công. Tuyệt vời. >“muh ứng dụng được tăng cường bảo mật” Bạn chưa bao giờ trả lời bài đăng gốc của tôi ở đây vì bạn không thể: https://t.co/MG6h64o3sE Tangem cũng đã được Riscure kiểm toán năm 2023, nhưng vẫn bị bạn “hút sạch” sau đó bởi Ledger: https://t.co/L6jOc2g67C Ngay cả Apple hay Google cũng không thể bảo vệ ứng dụng khỏi exploit ở cấp kernel trên hệ điều hành của chính họ, vì vậy Ledger/Trezor không bao giờ thử. Họ xác minh BÊN NGOÀI vùng nổ. “Ứng dụng tăng cường bảo mật” của bạn sống NGAY TRONG đó. [Các exploit mới nhất] Xem các video đính kèm, còn rất nhiều nữa mà tôi chưa đưa vào. Bạn không có tiền, không có tài nguyên, cũng không có kinh nghiệm để tự bảo vệ mình khỏi các exploit hệ điều hành. Bao nhiêu người dùng của bạn thậm chí đang dùng dòng Pixel 8 trở đi hoặc iPhone 17 trở đi? Điều đó cũng rất quan trọng. Lớp “ứng dụng” của bạn đã chết ngay từ đầu. Ledger & Trezor cung cấp giải pháp giảm thiểu mà bạn không thể làm được. Tangem giống như một ví phần mềm hơn vì nó ngầm tin tưởng vào hệ điều hành bị xâm phạm. Yếu tố an toàn chỉ là kịch tính vì thẻ sẽ ký bất cứ thứ gì được truyền cho nó.” https://t.co/2rdNCI7JiG