В 2023 году Kaspersky рассказала об одном случае, о котором, на мой взгляд, должен знать каждый покупатель аппаратного кошелька: устройство даже не подключали к компьютеру, а криптовалюту всё равно перевели. Проблема возникла ещё до покупки.
Пострадавший купил Trezor Model T на сайте объявлений о продаже подержанных вещей. Защитные голографические наклейки на коробке и корпусе были целыми. Но когда специалисты Kaspersky разобрали устройство, выяснилось, что корпус был склеен клеем и двусторонним скотчем, управляющий чип перепаяли, а версия загрузчика никогда не выпускалась официально.
Изменённая прошивка делала три вещи: отключала проверку подписи, поэтому при включении устройство не выдавало предупреждений; при инициализации или сбросе вместо случайной сид-фразы выбиралась одна из 20 заранее сохранённых в прошивке; если был задан дополнительный пароль, использовался только его первый символ. Поэтому даже сброс не позволял выйти за пределы этих 20 вариантов, и злоумышленники знали приватный ключ с самого начала. По истории транзакций видно, что они выждали месяц, прежде чем действовать.
Trezor подтвердила, что устройство было модифицировано третьей стороной, и заявила, что эта атака на цепочку поставок произошла более чем за год до публикации статьи. Это не удалённый взлом оригинального устройства Trezor и не новая уязвимость.
Я бы не стал судить о безопасности только по защитной наклейке: если она цела, это ещё не значит, что чип и прошивку внутри не изменяли. В официальных инструкциях Trezor говорится, что устройства поставляются без прошивки и сид-фразы по умолчанию. Если на новом устройстве уже установлена прошивка, нужно немедленно связаться с официальной службой поддержки. Это правила поставки самой Trezor; у других брендов всё может быть иначе, поэтому нужно изучить официальные инструкции каждого производителя.
Главные рекомендации Kaspersky и Trezor одинаковы: покупайте устройства через официальные каналы и не игнорируйте предупреждения на устройстве. Я бы не стал хранить деньги на аппаратном кошельке, купленном с рук у неизвестного продавца.