Крупный производитель аппаратных кошельков Ledger обнародовал уязвимости в устройствах своего прямого конкурента — компании Trezor. В исследовании говорится, что уязвимости были обнаружены специальным хакерским отделом Ledger, который для выявления уязвимостей взламывает как собственные устройства, так и устройства конкурентов. Ledger утверждает, что неоднократно обращалась к Trezor по поводу найденых проблем, но поскольку реакции не последовало, решила их обнародовать.
Первая проблема связана с тем, что можно легко изготовить копию устройства или скомпроментировать оригинальное устройство. По словам команды Ledger, программное обеспечение Trezor не трудно взломать и скопировать, а само устройство не имеет сложных компонентов. Поэтому мошенники могут изменить оригинальный кошелек или сделать клон, вложить устройство в оригинальную коробку и повторно ее запечатать. Наклейка-голограмма с оригинальной коробки легко удаляется и приклеивается заново. Ledger утверждает, что устранить подделки и модификации можно лишь путем полного пересмотра аппаратной части и ПО кошельков Trezor.
В ноябре 2018 года даже сама компания Trezor предупреждала, что из Китая поставляются поддельные кошельки Trezor One. Поэтому компания призвала покупать кошельки только с официального сайта. Однако Ledger утверждает, что подделку можно получить даже купив устройство на официальном сайте. Злоумышленник может купить несколько оригинальных устройств, взломать их, запечатать коробки, а затем отправить их обратно под видом возврата товара. Ledger считает, что устройства не будут проверяться и повторно поступят в продажу, что приведет к краже криптовалюты.
Кроме этого, хакеры Ledger выяснили, что если злоумышленник получит физический доступ к кошелькам Trezor One и Trezor T (например, в случае кражи), то он сможет извлечь все данные из памяти, узнать приватный ключ и получить полный контроль над криптовалютой.