ZachXBT wzbudził debatę, twierdząc na swoim kanale Telegram, że portfele sprzętowe to „całkowity śmieć” w przypadku poważnego użycia kryptowalut.
Według niego, osoby, które często obsługują ogromne kwoty, lepiej zrobią, używając zapasowego iPhone'a jako urządzenia do logowania.
ZachXBT opisuje codzienne zmagania użytkowników portfeli sprzętowych
Wiadomość na Telegramie kryptoinwestygatora była bezpośrednia:
„Ostry komentarz: Wszystkie portfele sprzętowe to całkowity śmieć i nie radzę ich używać do ważnych zadań, takich jak podpisywanie transakcji czy przechowywanie funduszy,” napisał.
Poszedł dalej, argumentując, że oddzielny iPhone używany tylko jako portfel może zapewnić lepsze doświadczenie niż jakiekolwiek urządzenie na rynku w tej chwili, podczas gdy szczególnie skrytykował Ledger.
„Ledger jest najgorszy, a Ledger Live ma regularne aktualizacje interfejsu/użytkownika i aplikacji bez dobrego powodu, które psują proste działania,” twierdził ZachXBT.
Na X wymienił kilka problemów, z jakimi mogą się zmagać użytkownicy portfeli sprzętowych podczas dokonywania typowej transakcji o wysokiej wartości wrażliwej na czas. Problemy obejmowały rozładowane baterie, obowiązkowe aktualizacje urządzenia i oprogramowania, zmiany interfejsu oraz błędy na stronie, które uniemożliwiają podpisywanie transakcji multisig.
Wkrótce potem badacze bezpieczeństwa, deweloperzy portfeli i zwykli użytkownicy kryptowalut zaczęli odpowiadać na post ZachXBT. Axel Bitblaze zgodził się z krytyką detektywa on-chain dotyczącego portfeli sprzętowych, ale zakwestionował, czy telefon naprawdę jest lepszym zamiennikiem dla nich, ponieważ nadal pozostawia użytkownika z „jednym urządzeniem i jednym kluczem jako jedynym punktem awarii.”
Zamiast tego zalecił konfigurację multisig 2-na-3 Safe z oddzielnymi urządzeniami podpisującymi. Doradził również posiadaczom kryptowalut, aby przechowywali swoje frazy seed offline i przeprowadzili test przed przeniesieniem dużych kwot, trzymając portfele wydatków oddzielnie od długoterminowych aktywów.
Współzałożyciel Tornado Cash, Roman Storm, również się włączył, zgadzając się z ideą stojącą za propozycją ZachXBT, ale argumentując, że portfele mobilne nie mają jednej ważnej funkcji: wsparcia dla hasła BIP39.
Deweloper, który stoi w obliczu długiego wyroku więzienia po skazaniu za prowadzenie nielegalnego biznesu przekazującego pieniądze w 2025 roku, zauważył, że dodatkowa warstwa hasła jest główną zaletą portfeli sprzętowych i wezwał producentów portfeli programowych do dodania wsparcia dla niej, co, jego zdaniem, uczyniłoby je bardziej użytecznymi dla samodzielnego przechowywania.
Debata przyciągnęła również odpowiedzi od firm produkujących portfele sprzętowe, z jedną z największych, Trezor, która stwierdziła, że ponieważ telefon działa na pełnym systemie operacyjnym, ma wiele możliwych punktów ataku. Tymczasem portfel sprzętowy jest zaprojektowany jako dedykowane urządzenie, które trzyma klucze prywatne z dala od ogólnych środowisk obliczeniowych.
Portfel Keystone zajął bardziej zrównoważoną pozycję. Zespół przyznał, że ZachXBT miał „rację” co do potencjału izolowanego telefonu, ale twierdził, że większość użytkowników lepiej obsługiwana jest przez urządzenia zaprojektowane do tego celu, ponieważ bezpieczeństwo telefonu w dużej mierze zależy od ścisłej dyscypliny użytkownika.
Stanowisko Ledger
Na dzień dzisiejszy Ledger nie odpowiedział bezpośrednio na zarzuty ZachXBT. Jednak opublikował dobrze wymierzoną wiadomość na swoim koncie X, w której stwierdził, że jego podstawowy model bezpieczeństwa opiera się na trzymaniu kluczy prywatnych z dala od urządzeń podłączonych do internetu.
„Klucz prywatny, który nigdy nie dotyka internetu, nie może być phishingowany, deepfake'owany ani wyciągnięty z istnienia przez wstrzyknięcie podpowiedzi,” napisał. „To jest cały zakład na sprzęt.”
Niemniej jednak takie urządzenia nie są całkowicie odporne na ludzkie błędy. Na przykład, incydent na początku tego roku spowodował, że ofiara straciła 282 miliony dolarów w BTC i LTC z ich offline'owego urządzenia w wyniku oszustwa inżynierii społecznej.
Źródło: CryptoPotato
