Аппаратный кошелек Trezor содержит уязвимость в чипе защищенного элемента TROPIC01, как показал аудит, проведенный подразделением безопасности Ledger. Компания, стоящая за популярными устройствами для холодного хранения, поспешила заверить пользователей, что средства остаются в безопасности, несмотря на недостаток.
Уязвимость в защищенном элементе
Уязвимость была обнаружена Ledger Donjon, внутренней командой исследования безопасности конкурента Trezor – Ledger. Она затрагивает чип TROPIC01, выделенный защищенный процессор, предназначенный для защиты закрытых ключей и чувствительных операций. В аудите не уточняется, можно ли эксплуатировать уязвимость удаленно или требуется физический доступ, но Trezor подтвердил находку.
Защищенные элементы являются стандартным компонентом аппаратных кошельков, предназначенным для обеспечения дополнительного уровня защиты от взлома и атак по побочным каналам. Слабость в этом компоненте теоретически может позволить злоумышленнику извлечь ключи или обойти проверки безопасности. Trezor не раскрыл подробности точного характера уязвимости, сославшись на продолжающийся процесс аудита.
Ответ Trezor
В заявлении после раскрытия информации Trezor сообщил, что средства пользователей находятся в безопасности. Компания не объявила об отзыве продукции, выпуске обновления прошивки или каких-либо немедленных действиях для клиентов. Это заверение предполагает, что уязвимость не позволяет украсть средства из активных кошельков в обычных условиях или что атака требует условий, которые трудно реализовать на практике.
Подход Trezor к безопасности часто основан на прозрачности — компания публикует прошивку с открытым исходным кодом и ранее приглашала сторонние аудиты. Однако молчание об исправлении оставляет некоторые вопросы открытыми. Другие производители аппаратных кошельков обычно выпускают обновление вскоре после сообщения об уязвимости, даже если риск невелик.
Роль Ledger Donjon
Ledger Donjon имеет опыт выявления недостатков в продуктах конкурентов. Ранее команда раскрывала уязвимости в более ранних моделях Trezor, включая One и Model T. Эта последняя находка продолжает эту тенденцию. Ledger и Trezor конкурируют за один и тот же рынок пользователей криптовалют, желающих использовать холодное хранение, поэтому аудит несет оттенок соперничества. Тем не менее, само раскрытие соответствует отраслевым нормам: исследователи делятся находками с производителем перед публикацией, давая время на исправление.
Неясно, когда начался аудит и сколько времени было у Trezor на реакцию до того, как новость стала известна. Отсутствие исправления на момент раскрытия может указывать на то, что уязвимость считается низкой по степени серьезности или что требуется аппаратная доработка, а не простое обновление программного обеспечения.
Что нужно знать пользователям
Пока сообщение Trezor прямолинейно: ничего не делать. Компания утверждает, что средства не находятся под угрозой. Пользователи, которые обеспокоены, могут принять базовые меры предосторожности — использовать надежную парольную фразу, своевременно обновлять прошивку и покупать устройства только через официальные каналы. Однако Trezor не выпустил специального предупреждения или изменений в рекомендациях.
Этот случай подчеркивает продолжающуюся игру в кошки-мышки в области аппаратной безопасности. Кошельки, которые когда-то считались неприступными, периодически проверяются белыми хакерами, и производители реагируют соответствующим образом. Настоящее испытание наступит, если будущая уязвимость окажется более серьезной, чем эта.
