В криптовалютному гаманці Trezor знайдено серйозну вразливість

Компанія Tre­zor оприлюднила інформацію про вразливість у своєму флагманському апаратному гаманці Safe 7. Незважаючи на знайдену проблему, виробник запевняє: кошти користувачів залишаються під захистом — через специфіку самого експлойту.

Вразливість виявила команда Ledger Don­jon під час незалежного аудиту безпеки. Дослідники провели успішну «атаку лазерним уприскуванням збоїв» на чіп TROPIC01 Secure Ele­ment. Завдяки цьому зловмисник може отримати один із трьох «секретів», які захищають PIN-код гаманця, — фактично знизивши кількість рівнів захисту з трьох до двох.

У офіційному блозі Tre­zor уточнюють: вразливість стосується виключно чіпа TROPIC01 — лише одного з трьох фізичних незалежних рівнів безпеки. Злам цього чіпа не надає доступу до PIN-коду, який є фінальним бар’єром для захисту коштів. Крім того, атака не дозволяє встановити шкідливе прошивання з постійним ефектом на пристрої Tre­zor Safe 7.

Щоб здійснити атаку, зловмисник мусить фізично заволодіти гаманцем, розібрати його та скористатися спеціалізованим лабораторним обладнанням. Tre­zor наголошує, що чіп TROPIC01 залишається «ефективним бар’єром», на подолання якого потрібні «значний час і зусилля», а ключі користувача в цьому чіпі взагалі не зберігаються. Компанія з блокчейн-безпеки Cyvers підтримала цю оцінку, назвавши атаку «вкрай непрактичною».

Оскільки вразливість закладена на апаратному рівні, виправити її через оновлення прошивки неможливо. Tre­zor не відповів на запит щодо того, чи прийматиме заявки на повернення коштів від покупців.

Апаратні, або «холодні», гаманці зберігають приватні ключі офлайн на фізичному пристрої — на відміну від «гарячих» гаманців на кшталт Meta­Mask, де ключі розміщені в локальному програмному забезпеченні або хмарних серверах.

Дедді Лавід, генеральний директор Cyvers, нагадав про реальніші загрози для більшості власників криптовалюти: «Безпеку апаратного гаманця не слід оцінювати лише за тим, чи можна зрештою зламати чіп у лабораторії. Для більшості користувачів значно більший ризик становлять фішинг, крадіжка сід-фрази, шкідливі децентралізовані застосунки та сліпе підписання транзакцій, які вони не розуміють до кінця».