Recensione di Guarda Wallet

Guarda è un wallet multi-chain valido, con un resoconto dell'incidente insolitamente onesto, e quel resoconto indica esattamente ciò di cui bisogna diffidare. Il 30 dicembre 2020 un attaccante ha preso il controllo dell'account di Guarda presso il suo registrar dei domini, GoDaddy, ha ridiretto il DNS di guarda.co e guarda.com e ha messo online una pagina «progettata esattamente come la nostra homepage» la cui unica funzione era un modulo per caricare un backup. Gli utenti delle versioni desktop, web ed estensione per Chrome che hanno caricato un backup hanno consegnato i propri indirizzi e le proprie chiavi private. Gli utenti dell'app mobile hanno visto solo ritardi nelle transazioni, perché le risorse dell'app mobile si trovavano su sottodomini che l'attaccante non aveva ridiretto.

L'amministratore delegato di Guarda ha pubblicato personalmente la cronologia, con allegati i log del registrar stesso: l'autenticazione a due fattori rimossa alle 11:55 senza alcun evento di accesso registrato prima, poi indirizzo email, numero di telefono e PIN tutti modificati. Guarda ha avvisato gli utenti sui social media nel giro di minuti, ha inviato documenti a GoDaddy entro mezz'ora, ha presentato dichiarazioni alla Polizia informatica e alla Polizia finanziaria estoni e afferma che i suoi ingegneri hanno fatto sì che la pagina di phishing restituisse errori per circa il 90% dell'intervallo prima che Guarda recuperasse l'account quella sera. Ha indicato come spiegazione probabile il servizio di KrebsOnSecurity sull'uso di dipendenti di GoDaddy in attacchi contro servizi di criptovalute.

Nota ciò che non è stato violato: nulla dei sistemi di Guarda. La lezione è strutturale, e resta valida anche dopo l'incidente. Un wallet il cui flusso prevede «carica il tuo backup cifrato sul nostro sito web» è a un solo record DNS di distanza da un falso convincente, e nessuna cifratura locale serve quando sei tu stesso a consegnare il file. Se usi Guarda, usa l'app desktop o quella mobile, e non inserire né caricare mai un backup su una pagina web, qualunque cosa dica la barra degli indirizzi.

Il prodotto oggi è ampio. Guarda è operativo dal 2017 e dichiara sul proprio sito più di 70 blockchain, oltre un milione di token supportati e oltre un milione di utenti attivi. Funziona su Windows, macOS e Linux, su iOS e Android, come app web e come estensione per Chrome. Consente di acquistare con carte e Apple Pay, fa staking su 14 reti, offre il multisig, concede prestiti sulle criptovalute detenute e ora integra nel wallet future perpetui e mercati di previsione di terze parti. Bitcoin è disponibile, ma questo è un wallet per chi detiene molte cose diverse.