Avis sur Guarda Wallet

Guarda est un portefeuille multichaîne compétent, avec un rapport d'incident d'une honnêteté rare, et ce rapport désigne directement le point sur lequel il faut être prudent. Le 30 décembre 2020, un attaquant a pris le contrôle du compte de Guarda chez son registrar de domaine, GoDaddy, a redirigé le DNS de guarda.co et guarda.com, et a mis en ligne une page « conçue exactement comme notre page d'accueil » dont l'unique fonction était un formulaire d'envoi de sauvegarde. Les utilisateurs des versions bureau, web et extension Chrome qui ont envoyé une sauvegarde ont livré leurs adresses et leurs clés privées. Les utilisateurs de l'application mobile n'ont vu que des retards de transaction, car les ressources de l'application mobile se trouvaient sur des sous-domaines que l'attaquant n'avait pas redirigés.

Le PDG de Guarda a publié lui-même la chronologie, avec les journaux du registrar en pièce jointe : authentification à deux facteurs supprimée à 11 h 55 sans aucun événement de connexion enregistré avant, puis l'adresse e-mail, le numéro de téléphone et le code PIN tous modifiés. Guarda a prévenu les utilisateurs sur les réseaux sociaux en quelques minutes, a envoyé des documents à GoDaddy en moins d'une demi-heure, a déposé des déclarations auprès de la cyberpolice et de la police financière estoniennes, et indique que ses ingénieurs ont maintenu la page d'hameçonnage en erreur pendant environ 90 % de la fenêtre avant de récupérer le compte le soir même. Il a pointé du doigt les articles de KrebsOnSecurity sur l'usage d'employés de GoDaddy dans des attaques contre des services de cryptomonnaies comme explication probable.

Notez ce qui n'a pas été compromis : rien de propre à Guarda. La leçon est structurelle, et elle survit à l'incident. Un portefeuille dont le processus comprend « envoyez votre sauvegarde chiffrée sur notre site » n'est qu'à un enregistrement DNS d'une contrefaçon convaincante, et aucun chiffrement local n'aide quand vous remettez le fichier vous-même. Si vous utilisez Guarda, utilisez l'application bureau ou mobile, et ne saisissez ni n'envoyez jamais une sauvegarde sur une page web, quoi qu'affiche la barre d'adresse.

Le produit est aujourd'hui vaste. Guarda opère depuis 2017 et revendique sur son propre site plus de 70 blockchains, plus d'un million de jetons pris en charge et plus d'un million d'utilisateurs actifs. Il fonctionne sous Windows, macOS et Linux, sur iOS et Android, en application web et en extension Chrome. Il permet d'acheter par carte et par Apple Pay, de staker sur 14 réseaux, prend en charge le multisig, prête contre vos avoirs, et intègre désormais dans le portefeuille des contrats à terme perpétuels et des marchés de prédiction, tous deux proposés par des tiers. Le bitcoin est pris en charge, mais c'est un portefeuille pour ceux qui détiennent beaucoup de choses différentes.