今天要來聊聊 Tangem 的短線操作。 「Tangem 挑戰的是加密貨幣世界中最底層的共識，因此它充滿了持有 $XRP、$KAS 的套牢者，以及用花生當酬勞的付費推手在做宣傳。 今天我要說得簡單一點，讓大家都能明白。2024 年 12 月，@Tangem 發生了一次嚴重漏洞：其行動應用程式會將使用者的私鑰寫入支援郵件附帶的日誌中，並刪除了 Reddit 上早期的警告貼文。在你們說『muh 沒有種子，muh 安全』之前，是的，你的私鑰從未直接接觸應用程式。 但你的每一筆交易都會接觸到它。攻擊向量就是應用程式本身以及其運行的作業系統。繼續往下讀。Tangem 的烏托邦謬誤是：安全帶偶爾會失靈，所以乾脆不要用。 Ledger/Trezor 的清晰簽名錯誤：最壞情況下，螢幕會欺騙你關於交易參數的資訊。 Tangem 的設計：螢幕（手機）從根本上就能欺騙你關於交易的資訊。 >「硬體植入」 硬體植入早於比特幣存在，它們與裝置無關。運行 Tangem 應用程式的手機也可能被植入了惡意程式，那又怎麼樣？ 「Tangem Genuine Check」早已被 Ledger 利用過。偽造的 Tangem 卡並非僅是理論：https://t.co/weL2RZwpWw >「清晰簽名錯誤」 清晰簽名錯誤是 Tangem 根本不存在的層級所出現的故障。 Tangem 的設計就是：每次都會簽署應用程式傳給它的任何負載。 汽車的安全氣囊偶爾也會出問題，即使是 Toyota——全球最可靠的汽車製造商。Tangem 的解決方案是直接取消所有安全氣囊。 Ledger 和 Trezor 的漏洞會定期修補。但你永遠無法修補你的雷射攻擊向量：https://t.co/bu4FLwrKNM 0 攻擊向量：https://t.co/oIev1NIF3A……因為用戶根本沒有更新通道。 你的安全頁面仍聲稱能抵抗「故障注入攻擊」。 Donjon 的雷射攻擊正是故障注入。它有效，而且你無法修復。【頓悟時刻】 @Ledger 和 @Trezor 的清晰簽名錯誤之所以能被發現，是因為可信螢幕可以核對簽署內容。 在 Tangem 的架構中，根本沒有任何東西可供核對。再慢讀一次這句話，因為很容易忽略：這證明其架構是可測試的。Ledger/Trezor 就像一家公布經審計帳戶的銀行。 偶爾會有審計員發現錯誤： 1. 建立一筆交易。 2. 記錄裝置顯示的內容。 3. 記錄裝置實際簽署的內容（簽名會精確揭示簽署了什麼）。 4. 對比這兩者。 Tangem 則像一家不記帳的銀行。因此永遠不會發現會計錯誤： 1. 建立一筆交易。 2. 記錄應用程式顯示的內容。 3. 記錄卡片簽署的內容。 4. 兩者不同：應用程式顯示了一個地址，卡片卻簽署了另一個。 在 Tangem 的情況下，不存在漏洞，因為 Tangem 從未承諾這兩者應該一致。卡片會簽署應用程式傳給它的任何負載。系統完全按照設計運作——這正是被入侵作業系統的預設行為。 >「更多硬體組件會引入更多攻擊向量。」 所以你對抗一個由最小化固件驅動、專為可信設計的螢幕（Ledger/Trezor）的解決方案，竟然是使用一部完整的智慧型手機，運行一個擁有數百萬行程式碼和無數攻擊向量的完整作業系統？太棒了。 >「muh 安全強化的應用程式」 你從未回應我最初的貼文，因為你無法回應：https://t.co/MG6h64o3sE Tangem 雖在 2023 年接受過 Riscure 審計，但你仍被 Ledger 搞垮了：https://t.co/L6jOc2g67C 就連 Apple 或 Google 都無法保護其應用程式免於自身作業系統的內核級漏洞，因此 Ledger/Trezor 從不嘗試。 他們在爆炸半徑之外進行驗證。你的「安全強化應用程式」卻活在爆炸半徑之內。 【最新漏洞】 請觀看附上的影片，還有更多我沒列出來的案例。你既沒有資金、資源，也沒有經驗去防禦作業系統級漏洞。 你的用戶中有多少人正在使用 Pixel 8 系列或更新型號，或 iPhone 17 系列或更新型號？這也至關重要。 你的「應用程式層」一登場就已死亡。Ledger & Trezor 提供了你無法提供的緩解措施。Tangem 更像是一種軟體錢包，因為它隱含地信任一個已被入侵的作業系統。安全元件只是表演——因為卡片會簽署任何傳給它的內容。」 https://t.co/2rdNCI7JiG