Trezor và Tropic Square đã công bố một lỗ hổng chip TROPIC01 do Ledger Donjon phát hiện, nhưng cho biết ví Trezor Safe 7 và tiền của người dùng vẫn an toàn.
Lỗ hổng được phát hiện trong quá trình kiểm toán độc lập chip TROPIC01 Secure Element. Ledger Donjon, nhóm nghiên cứu mũ trắng của nhà sản xuất ví cứng đối thủ Ledger, đã thực hiện đánh giá này.
Tropic Square đã cung cấp chip cho Ledger Donjon để thử nghiệm. Trezor cho biết lỗ hổng ảnh hưởng đến một trong ba lớp bảo mật độc lập bên trong ví Safe 7.
Theo công bố, Ledger Donjon đã thông báo với Tropic Square vào tháng 1 năm 2026 rằng họ đã thực hiện một cuộc tấn công tiêm lỗi laser trong điều kiện phòng thí nghiệm. Cuộc tấn công này cho phép các nhà nghiên cứu trích xuất một số bí mật của chip và bỏ qua các kiểm tra chữ ký firmware.
Tropic Square sau đó đã tìm ra một cách khác để khai thác cùng một điểm yếu. Phương pháp đó có thể làm lộ một bí mật khác liên quan đến các chức năng chip liên quan đến PIN.
Trezor cho biết người dùng không cần thực hiện bất kỳ hành động nào. Công ty cho biết việc xâm nhập TROPIC01 một mình không thể truy cập PIN, ví hoặc tiền của người dùng.
“Vì Trezor Safe 7 được xây dựng với nhiều lớp bảo mật độc lập, một lỗ hổng trong TROPIC01 không gây rủi ro cho tiền của người dùng,” Giám đốc điều hành Trezor Matej Žák cho biết.
Vấn đề nằm ở cấp độ phần cứng, vì vậy nó không thể được khắc phục thông qua một bản cập nhật firmware từ xa thông thường. Trezor và Tropic Square vẫn chọn công bố công khai sau khi xem xét các phát hiện của Ledger Donjon.
Safe 7 sử dụng TROPIC01 cùng với hai chip khác. Thiết kế của nó kết hợp TROPIC01, OPTIGA Trust M và STM32U5 để bảo vệ các kiểm tra PIN, tính xác thực của thiết bị và việc tạo ví.
Việc công bố này mang đến cái nhìn công khai hiếm hoi về các thử nghiệm bảo mật cạnh tranh trên thị trường ví cứng. Ledger Donjon trước đây đã đánh giá các thiết bị Trezor và công bố nghiên cứu về các con đường tấn công vật lý.
Như crypto.news đã đưa tin trước đây, Ledger Donjon trước đó cho biết các thiết bị Trezor Safe vẫn đối mặt với rủi ro tấn công vật lý liên quan đến việc sử dụng bộ vi điều khiển. Trezor cho biết vào thời điểm đó rằng tiền của người dùng vẫn an toàn khi thiết bị được mua từ các nguồn chính thức.
Các tin tức riêng biệt của crypto.news cũng cảnh báo rằng một số ví cứng sử dụng chip ESP32 đối mặt với rủi ro đánh cắp khóa riêng. Báo cáo đó cho thấy các lỗ hổng cấp độ chip vẫn là mối lo ngại bảo mật chính đối với các thiết bị lưu trữ tiền mã hóa.
Tropic Square quảng bá TROPIC01 như một yếu tố bảo mật mở và có thể kiểm toán. Công ty cho biết chip này cho phép các nhà nghiên cứu kiểm tra và thử nghiệm phần cứng mà thông thường sẽ được giữ kín theo các điều khoản không tiết lộ.
Lỗ hổng mới cho thấy việc kiểm thử mở có thể tiết lộ các điểm yếu trước khi kẻ tấn công thực hiện. Nó cũng cho thấy bảo mật ví cứng phụ thuộc vào thiết kế thiết bị hoàn chỉnh, chứ không chỉ một con chip.
Đối với người dùng, hướng dẫn chính vẫn đơn giản. Họ nên mua thiết bị từ các kênh chính thức, giữ firmware được cập nhật, bảo vệ cụm từ khôi phục ngoại tuyến và tránh sử dụng bất kỳ ví nào có dấu hiệu bị giả mạo.
