Trezor и Ledger прокомментировали информацию о наличии уязвимостей в аппаратных кошельках

Накануне в сети появилась информация об обнаруженных уязвимостях в аппаратных кошельках Trezor и Ledger. Представители крипто-компаний, однако, поспешили прояснить ситуацию и отметили, что средства пользователей в безопасности.

Презентация о наличии уязвимостей в аппаратных кошельках Trezor и Ledger была опубликована на сайте wallet.fail – ее создателями являются разработчики Дмитрий Недоспасов, Томас Рот и Джош Датко. Презентация была опубликована после завершения мероприятия Chaos Communication Congress, представители Trezor и Ledger практически сразу же отреагировали на замечания.

Так, французская компания Ledger заявила о том, что это весьма похвально осуществлять проверку безопасности девайсов и добавила, что, хотя исследователи и представили три пути совершения атаки, которые создают впечатление о наличии критических уязвимостей в продуктах Ledger, это не соответствует действительности. В целом компания отметила, что атакующим так и не удалось завладеть пин-кодом или так называемой сид-фразой, а значит активы, которые хранятся в Secure Element, остаются в безопасности.

Кроме того, в компании заявили, что использованный атакующими прием получения физического доступа к девайсу жертвы и установка вредоносного ПО на ПК является непрактичным. Процедура к тому же требует слишком много времени, несмотря на то, что в теории такой сценарий возможен, на практике его реализация маловероятна.

Regarding the presentation at #35c3, we were not informed ahead of time about the details of the disclosure. We are working with the info as it arrives.

We will address the vulnerability in due time—as soon as possible.

Details in thread:

— Trezor (@Trezor) December 28, 2018

В то же время команда Trezor признала наличие уязвимости, но отметила, что для ее использования атакующему необходимо иметь физический доступ к устройству жертвы. В том случае, если девайс находится под контролем настоящего владельца, нет причин опасаться возможного хищения средств.