Dziura w znanym portfelu Coinomi

Moderator
Awatar użytkownika
Posty: 10549
Rejestracja: 16 lutego 2013
Reputacja: 3201
Reputacja postu: 
6
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: Bit-els » środa, 27 lutego 2019, 07:58

Wpisując seed,portfel pozwala na sprawdzanie pisowni przez narzędzia googla. Czyli wysyła seeda poza portfel. Dotyczy to chyba tylko wersji na kompa, której ostatnia wersja (1.0.4) źle kodowała również adresy w qr kodach.




Moderator
Awatar użytkownika
Posty: 10549
Rejestracja: 16 lutego 2013
Reputacja: 3201
Reputacja postu: 
0
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: Bit-els » środa, 27 lutego 2019, 08:41

sprawdziłem portfel na linuxa i takich numerów nie ma. po prostu zapisuje się na kartce słowa, a potem klika myszką w odpowiedniej kolejności z zestawu. Nic się z klawiatury nie wpisuje. Może to na windows

pm7
Moderator
Posty: 7886
Rejestracja: 20 maja 2012
Reputacja: 968
Reputacja postu: 
0
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: pm7 » środa, 27 lutego 2019, 09:40

@Bit-els Sprawdziłeś przywracanie, czy zapisywanie słów nowego portfela?
Problem ponoć jest przy przywracaniu portfela z seed.

Moderator
Awatar użytkownika
Posty: 10549
Rejestracja: 16 lutego 2013
Reputacja: 3201
Reputacja postu: 
0
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: Bit-els » środa, 27 lutego 2019, 11:40

Przywróciłem właśnie i nie było podpowiedzi. Ten filmik chyba jest z windowsa. Na linuxie ok.

Dodano po 22 minutach 8 sekundach:
A tu szersze omówienie
https://www.cryptoglobe.com/latest/2019 ... y-servers/
gość stracił 60 tys $ w crypto.

czyli działa to tak, że wpisuje się słowa, one są monitorowane przez aplikację googla, ale nie miejscowo, na urządzeniu, tylko słowa idą na serwer. I po drodze jakieś bot stworzony do rozpoznawania seedów kradnie je.

Dodano po 13 minutach 3 sekundach:
Uwaga, jest błąd! To widać po wpisaniu złego słowa, następuje podkreślenie, czyli tak samo jak podaje ten gość na tt!

Posłałem kontronie dasha za 1 zł, zobaczymy czy zniknie.

Ten błąd był od zawsze? Na androidach też? co ze środkami w portfelach zakładanych dawno temu, bez bawienie się w przywracanie? Wtedy nic się nie wpisuje, tylko klika na przyciski ze słowami, więc chyba nie ma wycieku.

Bardzo Zły Moderator
Awatar użytkownika
Posty: 13084
Rejestracja: 16 kwietnia 2012
Reputacja: 1845
Reputacja postu: 
0
Napiwki za post: 0 BTC
Lokalizacja: Polska / Gorzów Wlkp.

Dziura w znanym portfelu Coinomi

Postautor: rav3n_pl » środa, 27 lutego 2019, 14:18

Znaczy że przywracanie "typu Trezor" gdzie podaje się słowa w losowej kolejności FTW.
Piffko: PLC/BTC 1Rav3nkMayCijuhzcYemMiPYsvcaiwHni
Mój Skydrive; Trochę o P2pool; C#: RPC CoinControl, BIP39 Mnemonic z talii kart
Bitcoin Core 0.18.1

Moderator
Awatar użytkownika
Posty: 10549
Rejestracja: 16 lutego 2013
Reputacja: 3201
Reputacja postu: 
0
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: Bit-els » środa, 27 lutego 2019, 14:55

Podsumujmy, wyciek seeda pojawia się tylko w portfelu Coinomi na komputer? Na pewno nie mobilne?


Tylko w momencie przywracania seeda. Wtedy słowa są wpisywane, a google sprawdza poprawność.

Oficjalny przedstawiciel projektu
Awatar użytkownika
Posty: 637
Rejestracja: 19 lutego 2018
Reputacja: 1328
Reputacja postu: 
6
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: HODLER.TECH » środa, 27 lutego 2019, 15:08

Bit-els pisze: środa, 27 lutego 2019, 12:15Ten filmik chyba jest z windowsa.
Ten filmik wygląda jakby był kręcony na Macu.
Bit-els pisze: środa, 27 lutego 2019, 12:15one są monitorowane przez aplikację googla
W opisie zagrożenia podana jest informacja że aplikacja łączy się z API Google Spellchecker żeby sprawdzić czy słowa zostały dobrze przepisane. Czyli że zostało to zakodowane przez programistów a nie że aplikacja Google sama sprawdza pisownię seeda. Skoro zakodowane zostało celowo, to możliwe że używają tego samego kodu w różnych wersjach. Możliwe że w wersji mobilnej nie pojawia się podkreślenie, tylko sugestia pisowni na klawiaturze.

Dodano po 23 minutach 5 sekundach:
To fragment rozmowy z osobą która straciła przez ten błąd 60k USD, wyjaśnia programistom coinomi gdzie jest błąd:

Obrazek

Obrazek

Najciekawsza jest końcówka gdzie CTO Coinomi mówi "przecież te seed'y są na serwerach google, co może się stać?":)

Obrazek

Czyli nie zostało zakodowane celowo a użyto biblioteki która posiadała połączenie ze spellchecker'em i funkcja ta nie została wyłączona w Coinomi.

Pełna rozmowa z CTO Coinomi: https://avoid-coinomi.com/files/coinomi ... ssages.pdf

Opis zagrożenia od strony osoby która straciła swoje środki i wykryła podatność: https://avoid-coinomi.com/files/coinomi ... cident.pdf
HODLER - Wielowalutowy portfel o otwartym kodzie źródłowym https://hodler.tech
HODLER Pro: https://hodler.tech/pro
Telegram PL: http://t.me/HODLERTECHPL
Dyskusja PL: https://forum.bitcoin.pl/viewtopic.php?f=101&t=30634

Moderator
Awatar użytkownika
Posty: 10549
Rejestracja: 16 lutego 2013
Reputacja: 3201
Reputacja postu: 
0
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: Bit-els » środa, 27 lutego 2019, 15:58

@HODLER.TECH ale zaraz, przeciez tego typu portfele generują seed w urządzeniu (zapewne Wy tak robicie) i nigdy nie są nigdzie przesyłane. Tak w każdym razie zapewniaja twórcy portfeli typu hd. Czy to ściema?? To oznacza, że one wszystkie są spalone. Nie tylko mobilne, jaka mamy pewność, że taki electrum nie wysyła niczego?

Dodano po 58 minutach 33 sekundach:
Odpowiedź Coinomi

pm7
Moderator
Posty: 7886
Rejestracja: 20 maja 2012
Reputacja: 968
Reputacja postu: 
0
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: pm7 » środa, 27 lutego 2019, 17:01

@Bit-els Z tego co rozumiem, to nie było celowe. Sami twórcy portfela nie wiedzieli, że wysyłają :)
To jest znany problem z używanie JS: https://hackernoon.com/im-harvesting-cr ... 8cb347c5b5

Rozwiązanie po stronie developerów: rozważyć jakie biblioteki używamy, monitorować zmiany.
Przykładowo, biblioteki używane przez Electrum: https://github.com/spesmilo/electrum/bl ... ements.txt
Bit-els pisze: środa, 27 lutego 2019, 15:58Nie tylko mobilne, jaka mamy pewność, że taki electrum nie wysyła niczego?
Ta wiadomość niczego nie zmieniła: od początku opieraliśmy się na zaufaniu do developerów i wierze, że są kompetentni i ewentualnie, że inni ludzie znajdą problemy (bo open-source).

Jeżeli ktoś ma większe środki, nie powinien wierzyć w jeden portfel. Portfele sprzętowe i/lub portfele offline pomagają, ale najpewniejsze jest używanie multisig, zwłaszcza przy użyciu różnych portfeli.

Oficjalny przedstawiciel projektu
Awatar użytkownika
Posty: 637
Rejestracja: 19 lutego 2018
Reputacja: 1328
Reputacja postu: 
2
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: HODLER.TECH » środa, 27 lutego 2019, 18:02

Bit-els pisze: środa, 27 lutego 2019, 16:56ale zaraz, przeciez tego typu portfele generują seed w urządzeniu (zapewne Wy tak robicie) i nigdy nie są nigdzie przesyłane. Tak w każdym razie zapewniaja twórcy portfeli typu hd. Czy to ściema??
Wprawdzie osoba która zgłasza problem sugeruje że Coinomi przejmuje seed'y i opróżnia "martwe adresy", ale nie ma na to żadnych dowodów. Jest dokładnie tak jak mówi pm7, nie wiedzieli że wysyłali te dane ponieważ nie sprawdzili co dokładnie robi biblioteka której używają, a ta miała włączoną opcję sprawdzania pod względem pisowni na serwerach Google. Jakiś nieuczciwy pracownik Google mógłby się bardzo wzbogacić po odkryciu tych danych.

Nie wykorzystujemy bibliotek osób trzecich w interfejsie użytkownika a te których używamy do obsługi kryptografii są opensource, przeanalizowane i opublikowane razem z kodem programu. Poza tym, trudno zrozumieć nagminne posługiwanie się seed'ami w formie niezaszyfrowanej, np. Trust Wallet domyślnie tworzy backup plaintext seeda poprzez opcję "Share" na email:)
HODLER - Wielowalutowy portfel o otwartym kodzie źródłowym https://hodler.tech
HODLER Pro: https://hodler.tech/pro
Telegram PL: http://t.me/HODLERTECHPL
Dyskusja PL: https://forum.bitcoin.pl/viewtopic.php?f=101&t=30634

Początkujący
Posty: 103
Rejestracja: 8 lutego 2018
Reputacja: 12
Reputacja postu: 
0
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: Frezu » środa, 27 lutego 2019, 20:28

pm7 pisze: środa, 27 lutego 2019, 17:01eżeli ktoś ma większe środki, nie powinien wierzyć w jeden portfel. Portfele sprzętowe i/lub portfele offline pomagają, ale najpewniejsze jest używanie multisig, zwłaszcza przy użyciu różnych portfeli.
jak nie mogę wierzyć w jeden portfel to nie mogę wierzyć w wiele porfeli. Każdy z tych wszystkich rozwiązań (w tym open source) to jedno wielkie "zaufaj mi". I mam tu na myśli większość użytkowników. Bo założe się że mało kto sprawdza te kody pod wieloma kątami. Dlaczego?

Po pierwsze trzeba umieć. Znać i umieć czytać odpowiednio kod.
Po drugie. Nowe wersje. Aktualizacje. Tutaj też różne "rzeczy" moge się zmieniać. Skąd mam wiedzieć co i jak to sprawdzić kiedy nie jestem biegłym programistą i nie mam w głowie linijek kodu ?

No przecież nie będe za każdym razym się upewniał. Ktoś za mnie to zrobi? Koszty? Za darmo ? Wracamy do punktu wyjścia. Skąd mam wiedzieć czy dobrze to sprawdzi ?

Oficjalny przedstawiciel projektu
Awatar użytkownika
Posty: 637
Rejestracja: 19 lutego 2018
Reputacja: 1328
Reputacja postu: 
0
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: HODLER.TECH » czwartek, 28 lutego 2019, 10:10

@Frezu

W zasadzie masz rację, toczyła się na ten temat dyskusja na GitHub pomiędzy bitcoin.org a Coinomi (w sprawie usunięcia ich ze strony bitcoin.org w związku z zamknięciem kodu). We wnioskach podano, że wprawdzie skompilowane wersje aplikacji na Google Play wymuszają potrzebę zaufania wydawcy, jednak bardzo ważne jest to, by dać możliwość sprawdzenia jakości kodu, użytych rozwiązań, każdej nowej wersji programu, osobom które potrafią to zweryfikować. Ma to swoje uzasadnienie nawet w nawiązaniu do tematu tej dyskusji, można z niej łatwo wysnuć wniosek że zespół Coinomi wcale nie sprawdza bibliotek z których korzysta. Gdyby mieli otwarty kod, wyszłoby to o wiele szybciej. W zamkniętym oprogramowaniu, haker który znajdzie lukę, może z niej korzystać przez wiele miesięcy zanim ktoś uczciwy zgłosi ją i zostanie załatana. O wiele łatwiej jest znaleźć frazę w kodzie "SeedSpellcheckerinGoogle=enabled", przypadkiem trafić na bibliotekę która ma tę opcję domyślnie włączoną, niż przewidzieć takie zaniedbanie nie mając dostępu do źródeł.

Prowadzenie aplikacji otwarto-źródłowej mobilizuje do ścisłego trzymania się dobrych praktyk w tworzeniu kodu, dodawania komentarzy, zachowywania wysokiej jakości kodu, używania najbezpieczniejszych rozwiązań. Nie jest to tylko teoria, przytrafiło się nam już kilka kontaktów z programistami którzy przekazali swoje uwagi co do kodu, optymalizacji, wzmocnienia zabezpieczeń. Wraz ze zwiększaniem się rozpoznawalności aplikacji na świecie, będzie coraz więcej osób które będą nam patrzyły na ręce, co jeszcze bardziej mobilizuje programistów do stosowanie przemyślanych i sprawdzonych rozwiązań już na obecnym etapie.
HODLER - Wielowalutowy portfel o otwartym kodzie źródłowym https://hodler.tech
HODLER Pro: https://hodler.tech/pro
Telegram PL: http://t.me/HODLERTECHPL
Dyskusja PL: https://forum.bitcoin.pl/viewtopic.php?f=101&t=30634

Moderator
Awatar użytkownika
Posty: 10549
Rejestracja: 16 lutego 2013
Reputacja: 3201
Reputacja postu: 
0
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: Bit-els » czwartek, 28 lutego 2019, 16:58

Na bank, gdy przyjdą czasy, że w każdym smartfonie będzie portfel crypto (jak dziś komunikator, czy mail), jakiś portfel przyśle aktualizację kradnącą środki. Portfele crypto na 1 mld urządzeń, średno 10$ i za taki skok można nawet iść do kozy na jakiś czas.

Traktujmy portfele nieofflinowe jako portmonetkę na drobne.
W sumie i aktualizacja ios czy android też może kiedyś coś takiego zrobić. Nie mówię, że prezes Apple się połakomi, ale jakiś informatyk wejdzie do zespołu i po kilku latach oddanej pracy i zyskaniu zaufania zrobi numer.
A na system żaden chyba portfel nie jest zabezpieczony, system zawsze jest nadrzędny.
@HODLER.TECH dobrze myślę?

Oficjalny przedstawiciel projektu
Awatar użytkownika
Posty: 637
Rejestracja: 19 lutego 2018
Reputacja: 1328
Reputacja postu: 
1
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: HODLER.TECH » czwartek, 28 lutego 2019, 19:06

@Bit-els
A na system żaden chyba portfel nie jest zabezpieczony, system zawsze jest nadrzędny.

Oczywiście, w przypadku przyjmowania automatycznych aktualizacji na telefon czy komputer, braku izolacji portfela od systemu możliwa jest kradzież środków przez wydawcę systemu. Dlatego właśnie tworzymy HODLER Pro czyli własny, bardzo wyspecjalizowany system operacyjny połączony z aplikacją portfela umieszczony na zaszyfrowanym wolumenie. Całość open source: https://hodler.tech/pro
► Pokaż Spoiler
HODLER - Wielowalutowy portfel o otwartym kodzie źródłowym https://hodler.tech
HODLER Pro: https://hodler.tech/pro
Telegram PL: http://t.me/HODLERTECHPL
Dyskusja PL: https://forum.bitcoin.pl/viewtopic.php?f=101&t=30634

Moderator
Awatar użytkownika
Posty: 10549
Rejestracja: 16 lutego 2013
Reputacja: 3201
Reputacja postu: 
0
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: Bit-els » czwartek, 28 lutego 2019, 20:35

Ale czysto teoretycznie- portfel jest zainstalowany na samsungu, do tego android, nawet okrojony, ale jednak to on jest swego rodzaju fundamentem, na którym stoi Wasz portfel. Potraficie to zrobić tak, że jakas celowa aktualizacja androida nie otworzy sejfu jakim jest portfel?

Weteran
Posty: 1504
Rejestracja: 3 grudnia 2017
Reputacja: 228
Reputacja postu: 
6
Napiwki za post: 0 BTC

Re: Dziura w znanym portfelu Coinomi

Postautor: redlumek » czwartek, 28 lutego 2019, 20:41

Nie ma ogólnych aktualizacji androida które automatycznie wysylaja na telefony. Każdy producent telefonu musi zrobić dedykowany update. Jeśli na ich telefonie będzie dedykowany system to bez wiedzy developerów nikt nie wyśle im żadnego update.

Oficjalny przedstawiciel projektu
Awatar użytkownika
Posty: 637
Rejestracja: 19 lutego 2018
Reputacja: 1328
Reputacja postu: 
0
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: HODLER.TECH » czwartek, 28 lutego 2019, 20:54

@Bit-els Jest tak jak mówi redlumek, to my dostarczamy aktualizacje do systemu. Każda jest podpisana naszym kluczem który jest weryfikowany przez kilka serwerów z różnych lokalizacji. Dodamy do systemu tylko aplikacje Open Source i tylko ze skompilowanych, własnych wersji które również będą aktualizowane przez nas (o ile będzie taka potrzeba).
HODLER - Wielowalutowy portfel o otwartym kodzie źródłowym https://hodler.tech
HODLER Pro: https://hodler.tech/pro
Telegram PL: http://t.me/HODLERTECHPL
Dyskusja PL: https://forum.bitcoin.pl/viewtopic.php?f=101&t=30634

pm7
Moderator
Posty: 7886
Rejestracja: 20 maja 2012
Reputacja: 968
Reputacja postu: 
0
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: pm7 » sobota, 2 marca 2019, 16:42

Frezu pisze: środa, 27 lutego 2019, 20:28 jak nie mogę wierzyć w jeden portfel to nie mogę wierzyć w wiele porfeli.
Dlaczego? Cała idea multisig polega na tym, że potrzeba wielu podpisów do transferu środków. Choćby nawet wszystkie portfele zostały wykradzione, to jeszcze muszą być wykradzione przez tego samego przestępcę. Jak zachowujesz bezpieczeństwo i używasz różnych portfeli, jest to niezwykle mało prawdopodobne. Bardziej bałbym się np. wypadku samochodowego.

Początkujący
Posty: 4
Rejestracja: 28 czerwca 2019
Reputacja: 14
Reputacja postu: 
0
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: AdamV » piątek, 28 czerwca 2019, 01:55

Jaką najprostszą rzecz może zrobić osoba dość początkująca jeszcze w krypto, aby ustrzec się przed tego typu atakiem?

Jak wyłapać, że coś się dzieje nie tak, zanim mój seed trafi do potencjalnego złodzieja?

Początkujący
Posty: 91
Rejestracja: 26 maja 2018
Reputacja: 41
Reputacja postu: 
0
Napiwki za post: 0 BTC

Dziura w znanym portfelu Coinomi

Postautor: tu83 » niedziela, 14 lipca 2019, 20:47

Do holdowania ETH używam MEW, ale w ramach dywersyfikacji portfeli - chciałem przelać sobie teraz większą ilość ETH na jakiś inny portfel.

Chciałem właśnie na Coinomi, ale z tego wątku dowiedziałem się, że ten portfel nie jest otwartoźródłowy i na dodatek w wersji desktopowej jest/był poważny bug.

Czy poleci ktoś coś jako alternatywę dla MEW?

Wróć do „Bezpieczeństwo”

Kto jest online

Użytkownicy przeglądający to forum: Obecnie na forum nie ma żadnego zarejestrowanego użytkownika i 2 gości