Problema de seguridad de Jaxx Wallet - Cualquiera puede extraer tu Semilla!
Me encontré un hilo en Reddit en el que un usuario muestra lo fácil que resulta extraer la frase de 12 palabras de respaldo (semilla) de una billetera Jaxx, tanto en la versión de escritorio como en la extensión de Chrome.
"Incluso si tu Jaxx tiene un PIN de seguridad configurado, cualquiera con 20 segundos de acceso(red) a tu ordenador puede extraer tu frase de respaldo y copiarla. Y no es necesario que Jaxx este corriendo para que esto pase."
Si una persona obtiene tu frase de respaldo puede restaurar tu billetera Jaxx teniendo acceso a todas tus claves privadas y por tanto a tus criptomonedas.
Todo esto se debe a que las semillas son almacenadas con una encriptación poco segura
"El problema es que el software de Jaxx encripta la semilla usando una clave de codificación en lugar de hacer uso de una clave mas fuerte suministrada por el usuario."
Como citaba anteriormente no importa si tienes activado un PIN o si tienes una clave fuerte, ya que eso no es tomado en cuenta en el proceso de encriptación.
Aunque el equipo de Jaxx esta al tanto de esta falla no planean resolverla
En ese mismo hilo el CTO de Jaxx manifestó que no pretenden modificar su modelo de seguridad pues afirma que este provee un balance entre la seguridad y la facilidad de uso. Y señalo que debería ser usada como una "hot wallet" y no para almacenar grandes montos.
Conclusión
Aunque Jaxx no sea la plataforma mas segura (ni de lejos) sigue siendo muy útil por sus características y facilidad de usar. Pero no deberíamos usarla para almacenar y, aunque sea multi-coins, mucho menos debería tenerse como único monedero.
Lo mejor es usarla como "hot wallet" tomando ventaja de su facilidad de acceso y del servicio de exchange integrado y luego pasar nuestras criptomonedas a monederos mas seguros ;-).
Por cierto todavía quedan 2 días para participar en la Campana de Dash en la que están dando $20 por crearle a un amigo/familiar/desconocido un monedero Dash :D
Fuentes: Discusión en reddit, Vxlabs
buen post
Gracias por el dato, menos mal de que deje de usar jxx. Cual usas?
De nada, gracias a ti por leer y comentar!! Si, yo tampoco la uso(excepto hace unos días para participar en la campana de Dash), la consideraba mas como para alguien que este creando su primera wallet por la facilidad de uso y demás, aunque no fuera la opción mas segura, pero ahora sabiendo de esta falla no se la recomendaría a nadie mas.