Ledger нашел уязвимость в кошельках Trezor

[TechnoLab]

Производитель аппаратных криптокошельков Trezor устранил уязвимость в моделях Safe 3 и Safe 5. Проблему выявила исследовательская команда конкурента — Ledger, сообщил CFO компании Шарль Гийоме.

At @Ledger, you might know that we have the @DonjonLedger, our dedicated team constantly conducting open security research.

We recently worked with Trezor, revealing that their Trezor Safe 3 was susceptible to physical supply chain attacks. Here's a thread on our findings: pic.twitter.com/CORDOQWRYg

— Charles Guillemet (@P3b7_) March 12, 2025

Речь шла о микроконтроллере кошельков, который позволял проводить криптографические операции. Это могло сделать Safe 3 и Safe 5 «уязвимыми для более сложных атак», отметил Гийоме.


Trezor уже внедрила микросхемы Secure Elements, предназначенные для защиты PIN-кода пользователя и криптографических данных. В Ledger отметили, что функция «эффективно предотвращает любые недорогие аппаратные атаки, в частности сбои напряжения».

«[Это] дает пользователям уверенность в том, что их средства в безопасности, даже если их устройство будет потеряно или украдено», — подчеркнула исследовательская команда.

Однако Ledger обнаружил еще один потенциальный вектор атаки, связанный с микроконтроллером другой основной части двухчиповой конструкции для моделей Safe 3 и 5.


Хотя в Trezor предусмотрена проверка целостности прошивки, инженерам Ledger удалось обойти эту защиту. Позднее производитель устранил уязвимость.


Представители компании заверили, что средства пользователей оставались в безопасности, и никаких действий от клиентов не требуется.

Hi, your funds remain safe, and you need not take any action. Ledger Donjon reused a previously known attack to bypass some of our countermeasures against supply chain attacks in Trezor Safe 3. Nevertheless, users who purchase from official sources are fully secure

— Trezor (@Trezor) March 12, 2025

Однако на вопрос, удалось ли Trezor исправить проблему с помощью прошивки, поставщик аппаратного кошелька ответил отрицательно.

Hi, unfortunately not. In cybersecurity, the golden rule is simple: nothing is fully unbreakable. That’s why we have already implemented a multi-layer defense against supply chain attacks and always advise our users to purchase from official sources.

— Trezor (@Trezor) March 12, 2025

«В области кибербезопасности действует простое золотое правило: ничто не может быть полностью неуязвимым», — прокомментировали в компании.

Команда Trezor сообщила о внедрении многоуровневой защиты от атак на цепочку поставок и посоветовала пользователям покупать устройства только у официальных дистрибьюторов.


Напомним, в январе 2024 года разработчики компании сообщили об инциденте с безопасностью у стороннего провайдера службы поддержки, который привел к утечке данных примерно 66 000 клиентов.


В декабре 2024 года злоумышленники от имени службы поддержки Ledger разослали фейковое уведомление о взломе сервиса, заставляя пользователей раскрыть сид-фразы.

Скамеры выманили у британцев сид-фразы и украли криптовалюту на $1,2 млн

Мошенники воспользовались утечкой персональных данных жителей Великобританияи для кражи приблизительно $1,2 млн в криптовалюте у девяти человек.

forklog.com