A adulteração da cadeia de fornecimento é, sem dúvida, um dos vetores de ataque mais críticos e menos discutidos na autocustódia. Por isso, é perfeitamente legítimo preocupar-se com modificações físicas sob o ecrã. As carteiras de hardware dependem fundamentalmente da integridade física do dispositivo, e um dispositivo de interceção inserido entre o elemento seguro e o controlador do ecrã poderia, em teoria, registar PINs ou alterar os dados das transações apresentados antes da assinatura. Verificar a embalagem do dispositivo, validar a atestação criptográfica do dispositivo durante a configuração inicial e encomendar sempre diretamente ao fabricante são medidas básicas razoáveis que todos devem adotar. Dito isto, deixar-se levar pela paranoia sem validação técnica gera pânico desnecessário. A maioria das arquiteturas seguras modernas, como a utilização, pela Ledger, de elementos seguros da STMicroelectronics e do BOLOS, verifica criptograficamente a integridade do firmware durante o arranque; um componente passivo adicional não consegue simplesmente extrair as chaves privadas do próprio elemento seguro sem recorrer a técnicas sofisticadas de interceção do barramento ou a uma ponte ativa de canal lateral. Se o modelo de ameaça exigir realmente proteção contra adulteração física a este nível, confiar num design de código fechado e numa simples inspeção visual é, de qualquer forma, fundamentalmente inadequado. Quem precisa de verdadeira verificabilidade da cadeia de fornecimento deve considerar configurações multisig com diferentes fabricantes de hardware ou arquiteturas totalmente de código aberto e isoladas de redes, nas quais as placas possam ser auditadas com base em esquemas públicos. $BTC $ETH