Las Hardware Wallet no son fáciles: Ballet si
La cold wallet más sencilla del mundo. Pero...¿es segura?
Que aquí somos muy de Hardware Wallets está claro. Lo atestigua la fuerza que hacemos en que te compres una Hardware Wallet y la pongas en marcha. Aquí tienes el enlace de siempre, nuestros Hardware Wallet.
Y también somos muy de hacer nuestra semilla, mira como puedes llegar a generarla.
Pero, nos entregan un wallet muy sencilla con un pero…..y el pero es que lleva la clave privada generada! 😲
Hoy te presentamos…Ballet: Making Crypto Easy.
La compañía y su fundador
Ballet es una compañía fundada en Estados Unidos en 2019 por Bobby Lee, un veterano de la industria de las criptomonedas. Si visitas la página web de Bobby Lee verás que es un emprendedor, educador y participa en ponencias y conferencias sobre criptomonedas en todo el mundo. Es habitual verlo como invitado en programas de economía en Estados Unidos.
Ha escrito un libro, llamado “The Promise of Bitcoin”, que podéis encontrar en Amazon y en su perfil de Linkedin podemos ver que ha trabajado en Yahoo como Ingeniero de Software, Walmart, y fundó en 2013 BTCChina, un Exchange que posteriormente se transformó en BTCC y que vendió en 2018.
La compañía solo tiene un único producto con diversas variantes y terminaciones, pero en el fondo es el mismo. Una wallet que:
No necesitas actualizar.
Es muy sencilla de usar.
Sin electrónica.
Offline.
El producto
Partamos de que la presentación del producto es SU-BLI-ME. La recibes en una caja de cartón, imposible de abrir sin dejar rastro en la que en el exterior tienes mucha información sobre el producto.
Sinceramente lo vi, y dije “esto es un regalo muy top”. Cuando abres el envoltorio descubres una placa de metal grabado con un grosor considerable, grabada por ambas partes.
Por delante:
Una clave pública, que sería accesible incluso sin abrir el envoltorio.
El logo de la moneda
Diversos controles de seguridad.
Por detrás:
Un apartado para hacer anotaciones.
Indicaciones de seguridad.
El paquete también incluye una carcasa de plástico dónde introducir la placa de metal, para protegerla ligeramente.
La verdad es que es una pena que a través del newsletter no se pueda transmitir mejor la buena sensación que da el producto.
Su funcionamiento
Si este newsletter tuviera haters entiendo que criticarían este post para meterme mierda por hablar un artículo con este red flag 🚩.
Si, esta wallet…lleva la clave privada generada, lo cual siempre hemos considerado un riesgo innecesario a correr y más existiendo alternativas para generarla tu mismo con seguridad.
Pero aquí no hay alternativa. El producto es así, para bien o para mal. Y así tenemos que analizarlo.
La wallet incorpora una clave privada pero no en el estándar BIP39, que sería una serie de 12 o 24 palabras, sino en BIP38, otra forma de obtener una clave privada.
¿Qué es BIP38?
Un poquito de historia:
BIP38 fue la “mejora a implementar en Bitcoin nº 38”. Fue propuesta por dos personas, y su objetivo era implementar la mejora de la seguridad en la que las claves privadas y direcciones públicas eran generadas cuando en 2012 se vendían los llamados “physical bitcoins”. También era la época de la generación de “paper wallets”, algo en desuso actualmente.
Una de las personas envueltas en este BIP fue Mike Caldwell, creador de las Casascius coin, de las cuales hablamos aquí. Básicamente eran bitcoin físicos. El gobierno de los Estados Unidos le obligó a parar.
Bobby Lee, fundador de Ballet afirma que estamos ante una mejora de aquellas iniciales Casascius, y en mi opinión si que lo es, (pero no son redondas).
BIP38 es un estándar que permite a dos entes compartir la creación de unas claves privadas encriptadas. La primera de las partes crea algo llamado “passphrase”, la segunda de las partes crea una cadena de 58 caracteres que empieza por “6P”.
La primera “passphrase” deriva, por así decirlo una “intermediate_passphrase_string” - no se como cojones traducir esto- que se entrega a la segunda parte..
Recordemos que esta segunda parte tenía ya una cadena de 58 caracteres que empieza por “6P”. Con esa cadena más esta “intermediate_passphrase_string” va a generar una dirección pública y una clave privada encriptada.
Finalmente, hay que decir que la “intermediate_passphrase_string” no nos permite saber cual es la “passphrase” que la genera, la cual es necesaria para desencriptar la clave privada encriptada que se generó con la dirección pública.
Entonces:
Habrá una parte que tiene la “passphrase” y la “intermediate_passphrase_string”, pero no tiene cadena de 58 caracteres que empieza por “6P”.
La segunda parte tiene la cadena de 58 caracteres que empieza por “6P” y la “intermediate_passphrase_string”.
La “intermediate_passphrase_string” no permite desencriptar nada.
Ninguna de las partes tiene forma alguna de desencriptar la clave privada.
Te pondré una imagen que puede ayudarte a comprender:
¿Qué diferencias encontramos entre BIP38 y BIP39?
Por si caso aprovechamos para recordarte que BIP39 son “las palabritas”.
BIP38 fue propuesta en 2012, BIP39 en 2013.
En términos de seguridad ambas son “altamente resistentes”.
BIP39 usa la “passphrase” de forma opcional mientras que para BIP38 es algo obligatorio.
Las combinaciones de BIP39 son “diez trillones, setecientos ochenta y tres mil cuatrocientos setenta y dos billones, seiscientos catorce mil setecientos ochenta y cuatro millones, trescientos ochenta y cuatro mil millones”. Las combinaciones de BIP38 son ilimitadas.
Un artículo muy interesante que podéis leer sobre BIP38 vs BIP39 está aquí, en el propio blog de Ballet.
BIP38 ejecutado por Ballet: ¿Cómo y dónde?
Todo lo anterior es muy bonito. Pero ¿Cómo lo hacen? Es decir, si al final me están dando una chapa de hierro que tiene todo lo anterior, junto, ¿Cómo tengo la certeza de que nadie tiene finalmente la “passphrase” y la cadena de 58 caracteres que empieza por “6P”. Total, al final ambas cosas están en el mismo paquete.
El equipo de Ballet en Estados Unidos genera la “passphrase”, la deriva y crea la “intermediate_passphrase_string”.
Esta “intermediate_passphrase_string” se envía a China, dónde se encuentra la sección de impresión. Allí se ha generado una cadena de 58 caracteres que empieza por “6P”. Allí se realiza la impresión parcial en la placa de metal del QR que contiene la clave pública y la privada encriptada. Hay un número de serie asociado a esta placa, que la vincula con la “intermediate_passphrase_string”.
La placa es remitida a los Estados Unidos dónde se verifica el nº de serie. Recordemos que ese nº de serie vincula la “intermediate_passphrase_string” con la “passphrase”. En este momento la placa de metal tiene una clave pública, visible y una clave privada, tapada por un adhesivo. En amarillo el nº de serie:
De vuelta a los Estados Unidos se verifica el nº de serie y se graba la “passphrase”. Posteriormente se aplica una cubierta que puede ser retirada, bajo la cual se encuentra la “passphrase”.
Se procede al embalaje del artículo.
¿Cómo saco mis bitcoins de mi Ballet?
Bueno, se trata de un estándar de generación y almacenaje de claves privadas, BIP38. Hay varias wallets, Apps, que permiten hacer eso. Evidentemente Ballet trae su propia App que te va ayudar a hacer eso de forma fácil. También tienen un software de escritorio. Enlace a todo.
Productos:
Ballet ofrece diversos productos con el mismo nivel de seguridad y diversos logos de divisas. También tienen algunas ediciones especiales. Los precios se mueven, en la serie Real entre $35 y $99:
La serie Pure está fabricada en materiales más duraderos su embalaje es más exclusivo:
Visita su web para más información.
Extra Ball:
Ballet ofrece la creación de una wallet indicando nosotros la “passphrase”. Pero no les vamos a dar la “passphrase”, sino que nos van a proporcionar un software (open source) con el que vamos a generar el “intermediate_passphrase_string”. Se trata de la serie PRO.
Y recordamos que esta intermediate_passphrase_string” no permite obtener la “passphrase” original. Nos remitirán nuestro producto el cual tendremos que comprobar y comenzar a usar. En este caso la “passphrase” no esta inscrita en la placa de metal:
Conclusiones:
Ballet Crypto me proporcionó todo el material necesario para hacer esta review. Al producirse el envío desde Estados Unidos se produjo un retraso en la entrega y adicionalmente tuve que hacerme cargo de unos gastos de aduana. Aunque puedes hacer la compra de sus productos en su página web, te recomiendo que vayas a Amazon, dónde no vas a encontrar problemas de aduanas.
Sobre la seguridad. Soy reticente a estos productos. Ya sabéis que aquí somos más de generar nuestra propia shit, sin embargo considero que el producto puede llegar a catalogarse como “seguro”.
La presentación del artículo es sublime. Aunque tu en las fotos veas cartón y metal da muy buena sensación. La posibilidad de acceder a la clave pública sin poner en peligro la clave privada es muy top.
Si tuviera que regalar bitcoin/ether u otra moneda soportada por Ballet, incluso aunque fuera mantenida en esa wallet durante tiempo si me pondría en manos de Ballet. Dependiendo del importe te diré, usaría la opción de la serie PRO.
Es una forma muy elegante de entregar tu regalo, y con seguridad.
así que os digo que….si , que me gusta. Y no hay enlace de referido ni nada.
No lo usaría para mantener ahí mis fondos propios pero si un amigo se casara y todos los colegas quisieras hacerle un regalo es la opción perfecta, y económica de que todos, de forma privada enviemos unos sats a su dirección y que el pueda luego mover los fondos a su propia wallet.
Gracias Ballet, Gracias Eric!
Extra Ball de la Extra Ball
En Julio de 2020 Bobby Lee se tiró a la piscina. Publicó un tweet con una Ballet Wallet mostrando su dirección pública. Si has leído de lo anterior recordarás que hemos dicho que para descifrar la wallet necesitas lo que hay bajo la dirección pública más la passphrase.
Ahí tienes la dirección pública, y aquí en el explorador. Tiene 1 Bitcoin. Acto seguido nos proporcionó la cadena de 56 caracteres que empieza por “6P”: 6PnQmAyBky9ZXJyZBv9QSGRUXkKh9HfnVsZWPn4YtcwoKy5vufUgfA3Ld7.
Si alguien consiguiera, con la dirección pública y la encrypted private key obtener aquello que hay bajo el rasca y gana (nunca mejor dicho) obtendría el acceso a los fondos de esa dirección.
Adicionalmente en otra wallet hizo lo contrario, mostró lo que hay bajo el rascar y no mostró la cadena de texto que empieza por “6P”.
Y visto todo lo anterior….¡Dame tu opinión! Ojo, que las opiniones en este post pudieran estar participando de forma prioritaria en el próximo sorteo. Y he puesto esto en el último párrafo por una razón más que evidente. 🚀🚀🚀
Saludos!
Pero reusar direciones en el 2023???
Eso si, es muy bonita
pero esto se podría usar como wallet fría?
entiendo que por el hecho de tener una dirección y ser una wallet sí que sería así