Производитель аппаратных криптокошельков Trezor устранил уязвимость в моделяхSafe 3иSafe 5. Проблему выявила исследовательская команда конкурента — Ledger, сообщилCFOкомпании Шарль Гийоме.
At@Ledger, you might know that we have the@DonjonLedger, our dedicated team constantly conducting open security research.We recently worked with Trezor, revealing that their Trezor Safe 3 was susceptible to physical supply chain attacks. Here's a thread on our findings:🧵pic.twitter.com/CORDOQWRYg
Речь шла о микроконтроллере кошельков, который позволял проводить криптографические операции. Это могло сделать Safe 3 и Safe 5 «уязвимыми для более сложных атак», отметил Гийоме.
Trezor уже внедрила микросхемы Secure Elements, предназначенные для защиты PIN-кода пользователя и криптографических данных. В Ledger отметили, что функция «эффективно предотвращает любые недорогие аппаратные атаки, в частности сбои напряжения».
«[Это] дает пользователям уверенность в том, что их средства в безопасности, даже если их устройство будет потеряно или украдено», — подчеркнула исследовательская команда.
Однако Ledger обнаружил еще один потенциальный вектор атаки, связанный с микроконтроллером другой основной части двухчиповой конструкции для моделей Safe 3 и 5.
Хотя в Trezor предусмотрена проверка целостности прошивки, инженерам Ledger удалось обойти эту защиту. Позднее производитель устранил уязвимость.
Представители компании заверили, что средства пользователей оставались в безопасности, и никаких действий от клиентов не требуется.
Hi, your funds remain safe, and you need not take any action. Ledger Donjon reused a previously known attack to bypass some of our countermeasures against supply chain attacks in Trezor Safe 3. Nevertheless, users who purchase from official sources are fully secure🔒
Однако на вопрос, удалось ли Trezor исправить проблему с помощью прошивки, поставщик аппаратного кошелька ответил отрицательно.
Hi, unfortunately not. In cybersecurity, the golden rule is simple: nothing is fully unbreakable. That’s why we have already implemented a multi-layer defense against supply chain attacks and always advise our users to purchase from official sources.
«В области кибербезопасности действует простое золотое правило: ничто не может быть полностью неуязвимым», — прокомментировали в компании.
Команда Trezor сообщила о внедрении многоуровневой защиты от атак на цепочку поставок и посоветовала пользователям покупать устройства только у официальных дистрибьюторов.
Напомним, в январе 2024 года разработчики компаниисообщилиоб инциденте с безопасностью у стороннего провайдера службы поддержки, который привел к утечке данных примерно 66 000 клиентов.
В декабре 2024 года злоумышленники от имени службы поддержки Ledgerразослалифейковое уведомление о взломе сервиса, заставляя пользователей раскрыть сид-фразы.
