Trezor только что выпустил довольно резкое предупреждение.
В Safe 5, проданных бывшим авторизованным дистрибьютором в Юго-Восточной Азии CryptoBilis, кто-то обнаружил дополнительную плату между материнской платой и экраном — с модулем сотовой связи и антенной. Согласно отчёту, она может считывать отображаемую на экране seed-фразу и при подключении к питанию передавать её по мобильной сети.
Лаборатория ещё не завершила проверку. Но фотографии изучили, видеоинтервью провели — компания сочла информацию достаточно достоверной, чтобы сначала предупредить пользователей. Если с марта вы покупали у этого продавца любой Trezor, рекомендуется немедленно перевести монеты на новый кошелёк с «новой seed-фразой». Перенос старой seed-фразы на другое устройство не поможет. Если она уже утекла, такой перенос ничего не изменит.
Самое тревожное здесь — не пустые слова вроде «аппаратные кошельки небезопасны». Тревожно то, что вы считали: покупка у «официального авторизованного продавца» гарантирует безопасность. Даже магазины из списка могут подсунуть устройство с закладкой. У того же дистрибьютора уже возникала похожая проблема с Ledger, а в начале октября Trezor исключил CryptoBilis из своей сети продаж. Это звено цепочки поставок грязнее, чем вопрос о том, помните ли вы свою seed-фразу.
На этой неделе Binance уже преподал урок на примере горячего кошелька, и толпы людей побежали за холодными. Холодным является только хранение ключей вне устройства — при условии, что путь устройства с завода к вам чист. Ещё один дистрибьютор, ещё одна площадка электронной торговли (в этот раз Tokopedia) — и в цепочке доверия появляется ещё одно слабое звено.
Официально сообщается, что о кражах пока не заявляли. Это не значит, что закладки нет, — только что скандал ещё не разгорелся. Ждать подтверждения лаборатории — значит ждать, пока пострадают невезучие пользователи. Предупредить заранее было правильным решением. Но сам факт такого предупреждения говорит об одном: доверие к аппаратному кошельку зависит не только от чипа, а от того, готова ли вся цепочка поставок заранее говорить с вами начистоту.
Покупая аппаратный кошелёк, заказывайте только напрямую на официальном сайте. Слова «официальный авторизованный продавец» на этой неделе считайте просто украшением.
#Trezor #АппаратныйКошелёк
В Safe 5, проданных бывшим авторизованным дистрибьютором в Юго-Восточной Азии CryptoBilis, кто-то обнаружил дополнительную плату между материнской платой и экраном — с модулем сотовой связи и антенной. Согласно отчёту, она может считывать отображаемую на экране seed-фразу и при подключении к питанию передавать её по мобильной сети.
Лаборатория ещё не завершила проверку. Но фотографии изучили, видеоинтервью провели — компания сочла информацию достаточно достоверной, чтобы сначала предупредить пользователей. Если с марта вы покупали у этого продавца любой Trezor, рекомендуется немедленно перевести монеты на новый кошелёк с «новой seed-фразой». Перенос старой seed-фразы на другое устройство не поможет. Если она уже утекла, такой перенос ничего не изменит.
Самое тревожное здесь — не пустые слова вроде «аппаратные кошельки небезопасны». Тревожно то, что вы считали: покупка у «официального авторизованного продавца» гарантирует безопасность. Даже магазины из списка могут подсунуть устройство с закладкой. У того же дистрибьютора уже возникала похожая проблема с Ledger, а в начале октября Trezor исключил CryptoBilis из своей сети продаж. Это звено цепочки поставок грязнее, чем вопрос о том, помните ли вы свою seed-фразу.
На этой неделе Binance уже преподал урок на примере горячего кошелька, и толпы людей побежали за холодными. Холодным является только хранение ключей вне устройства — при условии, что путь устройства с завода к вам чист. Ещё один дистрибьютор, ещё одна площадка электронной торговли (в этот раз Tokopedia) — и в цепочке доверия появляется ещё одно слабое звено.
Официально сообщается, что о кражах пока не заявляли. Это не значит, что закладки нет, — только что скандал ещё не разгорелся. Ждать подтверждения лаборатории — значит ждать, пока пострадают невезучие пользователи. Предупредить заранее было правильным решением. Но сам факт такого предупреждения говорит об одном: доверие к аппаратному кошельку зависит не только от чипа, а от того, готова ли вся цепочка поставок заранее говорить с вами начистоту.
Покупая аппаратный кошелёк, заказывайте только напрямую на официальном сайте. Слова «официальный авторизованный продавец» на этой неделе считайте просто украшением.
#Trezor #АппаратныйКошелёк
