Trezors hardware wallet indeholder en sårbarhed i deres TROPIC01 Secure Element-chip, har en revision fra Ledgers sikkerhedsafdeling afsløret. Virksomheden bag de populære cold storage-enheder reagerede hurtigt for at forsikre brugerne om, at midlerne forbliver sikre på trods af fejlen.
Fejlen i Secure Element
Sårbarheden blev opdaget af Ledger Donjon, det interne sikkerhedsforskningsteam hos Trezors konkurrent Ledger. Den påvirker TROPIC01-chippen, en dedikeret sikkerhedsprocessor designet til at beskytte private nøgler og følsomme operationer. Revisionen specificerede ikke, om sårbarheden kunne udnyttes eksternt eller krævede fysisk adgang, men Trezor har anerkendt fundet.
Secure Elements er en standardkomponent i hardware wallets, beregnet til at give et ekstra lag af beskyttelse mod manipulation og sidekanalangreb. En svaghed i denne komponent kunne teoretisk set tillade en angriber at udtrække nøgler eller omgå sikkerhedskontroller. Trezor har ikke frigivet detaljer om fejlens præcise karakter og henviser i stedet til den igangværende revisionsproces.
Trezors svar
I en erklæring efter offentliggørelsen sagde Trezor, at brugernes midler er 'sikre'. Virksomheden annoncerede ikke en tilbagekaldelse, en firmwareopdatering eller nogen umiddelbar handling for kunderne. Forsikringen antyder, at sårbarheden ikke udsætter aktive wallets for tyveri under normale forhold, eller at angrebet kræver betingelser, der er svære at opfylde i praksis.
Trezors tilgang til sikkerhed er ofte afhængig af gennemsigtighed – virksomheden udgiver open source-firmware og har tidligere inviteret tredjepartsrevisioner. Men tavsheden om en løsning efterlader nogle spørgsmål åbne. Andre hardware wallet-producenter udruller typisk en opdatering kort efter, at en sårbarhed er rapporteret, selvom risikoen er lav.
Ledger Donjons rolle
Ledger Donjon har en track record for at finde fejl i konkurrerende produkter. Holdet afslørede tidligere svagheder i Trezors tidligere modeller, herunder One og Model T. Dette seneste fund fortsætter den tendens. Ledger og Trezor konkurrerer om det samme marked for kryptovalutabrugere, der ønsker cold storage, så revisionen har et skær af rivalisering. Ikke desto mindre følger offentliggørelsen branchens normer: forskere deler fundene med leverandøren, før de går offentligt ud, hvilket giver tid til en løsning.
Det er ikke klart, hvornår revisionen startede, eller hvor længe Trezor havde til at reagere, før nyheden brød ud. Fraværet af en opdatering på tidspunktet for offentliggørelsen kan indikere, at sårbarheden betragtes som lav alvorlighed, eller at en hardware-revision er påkrævet i stedet for en simpel softwareopdatering.
Hvad brugere bør vide
For nu er Trezors budskab enkelt: gør ingenting. Virksomheden fastholder, at midlerne ikke er i fare. Brugere, der er bekymrede, kan tage grundlæggende forholdsregler – bruge en stærk adgangssætning, holde firmware opdateret og kun købe enheder fra officielle kanaler. Men Trezor har ikke udstedt en specifik advarsel eller ændret vejledningen.
Episoden understreger det igangværende kispus-spil inden for hardwaresikkerhed. Wallets, der engang blev betragtet som uigennemtrængelige, testes periodisk af white-hat-forskere, og producenterne reagerer derefter. Den virkelige test vil komme, hvis en fremtidig sårbarhed viser sig at være mere alvorlig end denne.
