دستگاه‌های Trezor Safe هنوز به حملات زنجیره تأمین فیزیکی آسیب‌پذیر هستند، Ledger می‌گوید.
آخرین کیف‌پول‌های سخت‌افزاری Trezor دارای عناصر امن هستند اما Ledger ادعا می‌کند که هنوز در معرض حملاتی که میکروکنترلرهای آنها را هدف قرار می‌دهند، آسیب‌پذیر هستند.
در دنیای همیشه در حال تغییر امنیت ارزهای دیجیتال، حتی پیشرفته‌ترین کیف‌پول‌های سخت‌افزاری نیز از تهدیدات جدید در امان نیستند.
اکنون، کارشناسان امنیت سایبری در Ledger Donjon، بخش تحقیقاتی کیف‌پول فیزیکی Ledger، نگرانی‌هایی درباره رقبای خود Trezor ایجاد کرده‌اند. با وجود شهرت آن برای طراحی امن، به نظر می‌رسد مدل‌های ایمن Trezor در برابر حملات فیزیکی آسیب‌پذیر باشند. در حالی که این دستگاه‌ها دارای تنظیمات دو تراشه و عناصر امن تأییدشده هستند، محققان در Ledger استدلال می‌کنند که این مدل‌ها به طور کامل در برابر هکرهای مصمم محافظت نشده‌اند.
در یک پست وبلاگی در تاریخ 12 مارس، Ledger خاطرنشان می‌کند که دستگاه‌های جدید Trezor Safe با ویژگی‌های امنیتی بهتری طراحی شده‌اند، از جمله یک تنظیمات دو تراشه با یک عنصر امن تأییدشده (Optiga Trust M) برای ذخیره PIN ها و اسرار رمزنگاری. با این حال، Ledger بیان می‌کند که عملیات رمزنگاری حیاتی "هنوز بر روی میکروکنترلر انجام می‌شود"، که امکان حمله در "مدل‌های تهدید پیشرفته‌تر" را ممکن می‌سازد.
“میکروکنترلر استفاده شده TRZ32F429 نامیده می‌شود – این واقعاً یک تراشه STM32F429 است که در یک BGA با علامت‌گذاری‌های مخصوص بسته‌بندی شده است. با وجود بسته‌بندی خاص Trezor، در واقع از نظر الکتریکی با یک STM32F429 یکسان است و این خانواده از تراشه‌ها به‌سبب آسیب‌پذیری به ولتاژ گلیچینگ شناخته شده‌اند که دسترسی خواندن و نوشتن به محتوای فلش آن را امکان‌پذیر می‌کند.”
Ledger
در حالی که دستگاه‌ها شامل مکانیزم‌هایی برای جلوگیری از دستکاری هستند، Ledger معتقد است که این دفاع‌ها مطمئن نیستند و بیان می‌کند که "تنها یک مسئله زمان و تلاش مهندسی است که در عمل حمله را انجام دهد." مهم‌تر از همه، محققان استدلال می‌کنند که حمله می‌تواند "صرفاً از طریق نرم‌افزار" اجرا شود که شناسایی آن "بسیار دشوار، اگر نگوییم غیرممکن" است، چه به‌صورت رمزنگاری و چه از طریق بازرسی بصری.
با وجود این خطرات، Ledger معتقد است که دستگاه‌های Trezor Safe یک قدم رو به جلو در امنیت سخت‌افزاری ارزهای دیجیتال هستند، هرچند تأکید می‌کند که نیاز به هوشیاری مداوم برای رفع نقاط ضعف احتمالی در زنجیره تأمین وجود دارد.
پس از انتشار این تحقیق، حساب کاربری X Trezor به کاربران اطمینان داد که وجوه آنها "ایمن باقی می‌مانند"، و خاطرنشان کرد که Ledger Donjon از یک "حمله قبلاً شناخته شده برای دور زدن برخی از اقدامات مقابله‌ای ما در برابر حملات زنجیره تأمین در Trezor Safe 3" استفاده کرده است.
