Trezorのハードウェアウォレットに使用されているTROPIC01 Secure Elementチップに脆弱性があることが、Ledgerのセキュリティ部門による監査で明らかになった。この人気のコールドストレージデバイスを手がける企業は、脆弱性が存在するにもかかわらず、ユーザーの資金は安全であると迅速に説明した。
Secure Elementの脆弱性
この脆弱性は、Trezorの競合であるLedgerの内部セキュリティ研究チーム「Ledger Donjon」によって発見された。影響を受けるのは、秘密鍵や機密操作を保護するために設計された専用セキュリティプロセッサであるTROPIC01チップだ。監査では、この脆弱性がリモートで悪用可能か、物理的なアクセスが必要かについては明記されていないが、Trezorはこの発見を認めている。
Secure Elementはハードウェアウォレットの標準的なコンポーネントであり、改ざんやサイドチャネル攻撃に対する追加の保護層を提供することを目的としている。このコンポーネントに弱点があると、理論上は攻撃者がキーを抽出したり、セキュリティチェックを回避したりする可能性がある。Trezorは脆弱性の正確な性質について詳細を公開しておらず、代わりに進行中の監査プロセスに言及している。
Trezorの対応
開示後の声明で、Trezorはユーザーの資金は「安全」であると述べた。同社はリコールやファームウェアのパッチ、顧客向けの即時対応を発表していない。この保証は、脆弱性が通常の条件下でアクティブなウォレットを盗難にさらすものではないこと、または攻撃には実際には達成困難な条件が必要であることを示唆している。
Trezorのセキュリティに対するアプローチは透明性に依存することが多く、同社はオープンソースのファームウェアを公開し、過去にも第三者監査を依頼してきた。しかし、修正に関する沈黙はいくつかの疑問を残している。他のハードウェアウォレットメーカーは、リスクが低い場合でも、脆弱性が報告された後に迅速にアップデートを展開するのが一般的である。
Ledger Donjonの役割
Ledger Donjonは、競合他社の製品に欠陥を見つけた実績がある。同チームは以前、Trezorの旧モデル（OneやModel T）の弱点を開示している。今回の発見はそのパターンをさらに拡張するものだ。LedgerとTrezorは、コールドストレージを求める暗号通貨ユーザーという同じ市場で競合しているため、この監査には競争心の要素が含まれている。それでも、開示自体は業界の慣行に従っており、研究者は公表前にベンダーと発見を共有し、修正の時間を確保している。
監査がいつ開始されたのか、またTrezorがニュースが公になるまでにどれだけ対応時間があったのかは明らかではない。開示時点でパッチが存在しないことは、脆弱性が低重大度と見なされているか、単なるソフトウェアアップデートではなくハードウェアの改訂が必要であることを示している可能性がある。
ユーザーが知っておくべきこと
現時点では、Trezorからのメッセージは単純明快で、何もする必要はないというものだ。同社は資金が危険にさらされていないと主張している。心配なユーザーは、強力なパスフレーズの使用、ファームウェアの最新維持、公式チャネルからのみデバイスを購入するなどの基本的な予防策を取ることができる。しかし、Trezorは具体的な警告やガイダンスの変更を発行していない。
この出来事は、ハードウェアセキュリティにおける進行中のいたちごっこを浮き彫りにしている。かつては難攻不落と考えられていたウォレットが、ホワイトハット研究者によって定期的にテストされ、メーカーはそれに応じて対応している。本当の試練は、将来の脆弱性が今回よりも深刻である場合に訪れるだろう。
