Portfel sprzętowy Trezor zawiera lukę w układzie Secure Element TROPIC01, co wykazał audyt przeprowadzony przez dział bezpieczeństwa Ledger. Firma stojąca za popularnymi urządzeniami do zimnego przechowywania szybko zapewniła użytkowników, że środki pozostają bezpieczne pomimo tej wady.
Wada w układzie Secure Element
Luka została odkryta przez Ledger Donjon, wewnętrzny zespół badawczy ds. bezpieczeństwa rywala Trezora – firmy Ledger. Dotyczy ona układu TROPIC01, dedykowanego bezpiecznego procesora zaprojektowanego do ochrony kluczy prywatnych i wrażliwych operacji. Audyt nie określił, czy luka może być wykorzystana zdalnie, czy wymaga fizycznego dostępu, ale Trezor potwierdził to odkrycie.
Układy Secure Element są standardowym komponentem w portfelach sprzętowych, mającym zapewnić dodatkową warstwę ochrony przed manipulacją i atakami kanałem bocznym. Osłabienie tego komponentu mogłoby teoretycznie umożliwić atakującemu wydobycie kluczy lub ominięcie kontroli bezpieczeństwa. Trezor nie ujawnił szczegółów dotyczących dokładnego charakteru luki, odnosząc się zamiast tego do trwającego procesu audytu.
Reakcja Trezora
W oświadczeniu po ujawnieniu informacji Trezor stwierdził, że środki użytkowników są „bezpieczne”. Firma nie ogłosiła wycofania produktu, łatki oprogramowania ani żadnych natychmiastowych działań dla klientów. To zapewnienie sugeruje, że luka nie naraża aktywnych portfeli na kradzież w normalnych warunkach lub że atak wymaga warunków trudnych do spełnienia w praktyce.
Podejście Trezora do bezpieczeństwa często opiera się na przejrzystości – firma publikuje oprogramowanie typu open source i w przeszłości zapraszała do audytów zewnętrznych. Jednak brak informacji o naprawie pozostawia pewne pytania otwarte. Inni producenci portfeli sprzętowych zazwyczaj wdrażają aktualizację wkrótce po zgłoszeniu luki, nawet jeśli ryzyko jest niskie.
Rola Ledger Donjon
Ledger Donjon ma na koncie wykrywanie wad w produktach konkurencji. Zespół wcześniej ujawnił słabości we wcześniejszych modelach Trezora, w tym One i Model T. To najnowsze odkrycie kontynuuje ten trend. Ledger i Trezor konkurują o ten sam rynek użytkowników kryptowalut, którzy chcą zimnego przechowywania, więc audyt ma posmak rywalizacji. Mimo to samo ujawnienie odbywa się zgodnie ze standardami branżowymi: badacze dzielą się odkryciami ze sprzedawcą przed publikacją, dając czas na naprawę.
Nie wiadomo, kiedy rozpoczął się audyt ani ile czasu Trezor miał na reakcję przed ujawnieniem wiadomości. Brak łatki w momencie publikacji może wskazywać, że luka jest uważana za mało poważną lub że wymagana jest zmiana w sprzęcie, a nie prosta aktualizacja oprogramowania.
Co użytkownicy powinni wiedzieć
Na razie komunikat Trezora jest prosty: nie róbcie nic. Firma utrzymuje, że środki nie są zagrożone. Użytkownicy, którzy się martwią, mogą podjąć podstawowe środki ostrożności – używać silnego hasła, aktualizować oprogramowanie i kupować urządzenia wyłącznie z oficjalnych kanałów. Trezor nie wydał jednak konkretnego ostrzeżenia ani zmiany w wytycznych.
Ta sytuacja podkreśla trwającą grę w kotka i myszkę w dziedzinie bezpieczeństwa sprzętowego. Portfele, które kiedyś uważano za nie do zdobycia, są okresowo testowane przez etycznych hakerów, a producenci odpowiednio reagują. Prawdziwy test nastąpi, gdy przyszła luka okaże się poważniejsza niż ta.
