Мошенники продают фейковые Trezor One. Как отличить подделку от оригинала?
Свежая запись в официальном блоге Trezor посвящена подделкам. Как пишут сотрудники, за годы деятельности компании в их руки попадали поддельные девайсы и похожие аналоги. Но накануне случилось удивительное – идеально точная копия Trezor One. Другими словами, фальшивый Trezor, изготовленный неизвестным продавцом. В этот раз подделку практически невозможно отличить от оригинала, но зацепки всё же есть.
Как проверить подлинность Trezor
При входе на сайт wallet.trezor.io разработчики прежде всего упоминают о голограмме.
Голограмма на оригинальном Trezor One (сверху) в сравнении с голограммой поддельного девайса (снизу). Источник: blog.trezor.io
Голограмма очень похожа на оригинальную на старых упаковках (хроника изменений). Если вы приобретали устройство в официальном магазине Trezor или у одного из авторизованных реселлеров в 2016 и 2017 годах, то скорее всего вам не о чем беспокоиться, а ваше устройство является подлинным.
Упаковка поддельного Trezor (слева) в сравнении с упаковкой оригинального кошелька (справа). Источник: blog.trezor.io
Как и в случае с остальными подделками, фейковый Trezor One продаётся с существенной скидкой. Уже это должно вызывать сомнения.
Помните, что главная проблема не столько в неизвестном производителе, сколько в безопасности ваших криптоактивов. Вряд ли эти устройства можно назвать безопасными. Не стоит доверять им свои деньги. Этот производитель уже обманул вас, когда попытался выдать свой товар за чужой. Кто знает, чего ещё можно ожидать.
На сайте Trezor также попросили всех пользователей сообщать о фактах нахождения подделки. Если после покупки возникают подозрения, ни в коем случае не пользуйтесь новым устройством и сразу сообщите о ситуации в поддержку Trezor.
Как приобрести подлинный Trezor One
Самый простой способ купить настоящий Trezor One — купить его в официальном магазине Trezor. Из прочих вариантов есть официальный магазин Amazon или официальные реселлеры.
Не рекомендуем приобретать Trezor на eBay, Taobao, AliExpress или у неизвестных продавцов на Amazon. Более подробную информацию об элементах безопасности Trezor One и Trezor Model T можно найти на официальной вики-странице компании.
Проверка подлинности
В этой записи мы кратко описали процесс проверки подлинности для популярных моделей аппаратных кошельков.
Проверка комплектации и коробки
В подлинности устройства можно убедится после проверки:
-
Комплектации. Периодически производители её меняют, но если основного элемента комплекта не достает (провода, карточки для записи сида) лучше обратиться в техподдержку или задать вопрос в экспертном чате; Упаковки. На ней не должно быть следов вскрытия. Иногда она также меняется, например, в этом документе Trezor можно увидеть варианты упаковок за разные годы; Корпуса кошелька. На нём не должно быть следов использования.
Ledger
Подтверждается оригинальность кошелька, когда мы подключаем устройство к приложению Ledger Live. В этот момент устройства выполняет челлендж (математическую задачу), полученный с интерфейса Ledger Live – только оригинальный кошелек сможет выполнить ее. Не оригинальный кошелек Ledger работать с Ledger Live не будет. Об этом подробнее написано в статье Ledger .
Trezor
Модели Trezor T и Trezor One имеют специальные голографические защитные пломбы. Важно убедиться, что бы они не были повреждены. Все устройства Trezor продаются без установленной прошивки. Пользователь устанавливает её сам во время настройки кошелька. Оригинальность прошивки проверяется каждый раз, во время подключения Trezor к компьютеру.
OneKey
Кошельки OneKey проверяются на оригинальность через специальную программу«Bootloader», установленную на устройстве, которая подтверждает целостность и подлинность прошивки.
Проверка происходит каждый раз при подключении кошелька к приложениям OneKey. А также кошелек OneKey Touch поставляется с пломбой защищающей от вскрытия.
Tangem
Внести изменения в прошивку карт Tangem нельзя. Во время первого подключения карты к приложению Tangem, происходит проверка оригинальности прошивки. Прошивку на картах Tangem невозможно обновить. Если карта предлагает вам создать новый кошелек, значит устройство никем ранее не использовалось и является подлинным.
Keystone
В чипе каждого кошелька Keystone сохранен приватный-ключ, который подтверждает оригинальность устройства после прохождения процедуры веб аутентификации.
Ellipal
Кошельки Ellipal сделаны в цельнометаллическом корпусе, который защищает устройство от вскрытия во время транспортировки. Обновление прошивки Ellipal происходит через sd-карту и она проверяется кошельком на оригинальность.
SafePal
Коробка кошелька имеет специальную пломбу, защищающую от вскрытия, а во время первого включения девайса, необходимо пройти процедуру аутентификации. С помощью алгоритмов шифрования мы подтверждаем, введя шестизначный код, что кошелек подлинный. После прохождения проверки, на кошельке отобразится информация об активации устройства.
CoolWallet
На упаковке кошелька есть пломба защищающая от вскрытия. Во время первого подключения к мобильному приложению мы идентифицируем устройство по его серийному номеру и вводим код синхронизации Bluetooth, подтверждая подлинность устройства.
Secux
Каждая модель SecuX имеет защитную пломбу, которая закрывает разъем подключения кабеля. Проверяя её целостность мы можем быть уверены в том, что устройство никогда не использовалось. Также в моделях w20 и v20 подлинность проверяется кодами сопряжения Bluetooth соединения.
BitBox
Во время первого подключения BitBox к компьютеру мы должны подтвердить код синхронизации, сохраненный в чипе устройства. Это позволит убедиться в подлинности кошелька.Также установленная в девайсе программа Bootloader, проверяет подлинность прошивки.
D'CENT
Подлинность кошелька проверяется во время подключения к интерфейсу D'CENT. Также на коробке, в которой поставляется устройство, есть пломбы защищающее от вскрытия.
Foundation
Во время первого включения устройства нужно пройти верификацию подлинности девайса. По QR-коду на устройстве мы переходим на страницу верификации и вводим четыре слова, которые отображаются на экране кошелька. Результат проверки отобразится на веб странице. В модели Passport Batch 2 проверка осуществляется через мобильный клиент.
CoinKite
Важно проверять пакет в котором поставляется кошелек. Он защищен от вскрытия и попадания воды. В упаковке также есть листок с номером пакета, номера мы можем сравнить, чтобы убедится в подлинности упаковки. В момент включения кошелька, появляется номер пакета, который нам нужно сверить с данными на упаковке.
Sorry, you have been blocked
This website is using a security service to protect itself from online attacks. The action you just performed triggered the security solution. There are several actions that could trigger this block including submitting a certain word or phrase, a SQL command or malformed data.
What can I do to resolve this?
You can email the site owner to let them know you were blocked. Please include what you were doing when this page came up and the Cloudflare Ray ID found at the bottom of this page.
Cloudflare Ray ID: 819372fa784f4137 • Your IP: Click to reveal 45.84.122.38 • Performance & security by Cloudflare
Поддельные аппаратные кошельки Trezor
Хранения биткоина с помощью аппаратного кошелька — это самое эффективное, что вы можете сделать для повышения безопасности. Поскольку биржи начинают лишать клиентов прав на их средства, самое время взять свои ключи под контроль.
Если вы хотите приобрести аппаратный кошелёк, убедитесь, что вы покупаете его непосредственно в Trezor Shop. Вы также можете проверить список официальных реселлеров. Никогда не покупайте Trezor у неавторизованных третьих лиц, поскольку вы никогда не сможете сказать, кто мог иметь к нему доступ до вас.
На что следует обратить внимание и как обнаружить фальсификацию
Чтобы сохранить свой биткоин в безопасности, необходимо знать, откуда он взялся, чтобы быть уверенным, что только вы владеете своим закрытым ключом. Именно поэтому аппаратные кошельки всегда следует покупать у официального продавца.
Существуют способы определить, было ли устройство подделано, но лучше избегать неопределенности, когда речь идет о защите вашего Биткойна. Остерегайтесь нелегальных продавцов и фишинговых сайтов, имитирующих официальные каналы.
Недавно команда обнаружила небольшую партию поддельных устройств, продававшихся на популярном российском рынке, несмотря на то, что сайт не является авторизованным реселлером. Поскольку в настоящее время мы не можем осуществлять поставки в Россию из — за военных действий, этот инцидент, по — видимому, воспользовался спросом на аппаратные кошельки и использует неофициальные каналы для продажи устройств, в которых были заменены компоненты, чтобы обмануть покупателей и заставить их хранить свои средства там, где они могут быть украдены.
При исследовании некоторых устройств было обнаружено, что они не функционируют так, как было задумано, и что корпус был вскрыт для доступа к внутренним компонентам, оставляя слабые следы вмешательства. Хотя за пределами России о подобных инцидентах не сообщалось, подобные схемы, нацеленные на пользователей Биткойна, в прошлом были замечены.
Никогда не покупайте аппаратные кошельки из непроверенных источников, это не стоит риска. Официальный магазин Trezor — самый безопасный способ купить аппаратный кошелёк Trezor.
Если у вас возникли сомнения, проверьте подлинность вашего устройства с помощью методов, описанных ниже.
Проверка прошивки
Для предотвращения атак на цепочку поставок существует несколько уровней безопасности. Легитимное устройство всегда будет поставляться без установленной прошивки.
Микропрограмма — это то, что обеспечивает работу устройства, и устанавливается пользователем при первой настройке Trezor.
Загрузчик, который управляет аппаратным обеспечением, устанавливается на заводе и проверяет установленную вами прошивку, чтобы убедиться, что она подписана SatoshiLabs, а не кем — то другим.
Используя Trezor Suite, вы можете проверить, какая версия прошивки установлена на вашем устройстве, перейдя в «Настройки устройства» и прокрутив страницу до заголовка «Версия прошивки». Или же переключите устройство в режим загрузчика, чтобы увидеть на экране Trezor версию прошивки и загрузчика.
Загрузчик может подтвердить, что прошивка правильно подписана, что является хорошим признаком того, что можно безопасно использовать устройство для генерации ключей. Однако в приведенном ниже примере внутренние компоненты были заменены, что сделало эту процедуру излишней, но были и другие признаки компрометации.
Непроницаемые пломбы
Обе модели Trezor используют голографические наклейки для подтверждения подлинности, а коробка Model One заклеена, то есть ее необходимо разбить, чтобы получить доступ к устройству. Эти меры могут показать, использовалась ли упаковка или устройство с момента выхода с завода.
Хотя повреждение упаковки при транспортировке не означает, что устройство было скомпрометировано, оно является быстрым и простым предупреждением о необходимости обратить дополнительное внимание на другие элементы безопасности, такие как подпись прошивки или любые нарушения пластикового корпуса устройства, которые могут указывать на атаку.
Корпус аппаратного кошелька Trezor
На фотографиях ниже показано боковое сравнение корпусов подлинного устройства, купленного у официального продавца, и взломанного устройства. Устройство Trezor в верхней части подлинное, а устройство в нижней части было разобрано и модифицировано.
Если присмотреться, то можно заметить разницу в сварке: на подлинном устройстве шов ровный, а на поддельном — со следами вскрытия и повторного заклеивания. Обратите внимание на более широкий зазор в сварке на поддельном устройстве, так как они уже не подходят друг к другу должным образом.
Простой тест для проверки того, было ли устройство вскрыто, заключается в том, чтобы слегка сжать его. Швы устройств из этой скомпрометированной партии заметно сомкнутся, в то время как Trezor в заводском состоянии не должен двигаться.
Улучшения в системе безопасности для предотвращения фальсификации
Команда разработчиков хочет чтобы клиенты были абсолютно уверены в подлинности своих устройств при их распаковке, поэтому они вводят новые меры безопасности, которые должны еще больше снизить вероятность подделки. Они также разработаны для того, чтобы чётко предупреждать пользователей о любом вмешательстве, которое могло иметь место после выхода с производственной линии.
Улучшение упаковки
Они исследуют новые инновационные способы защиты устройств и упаковки, чтобы обеспечить еще более высокий уровень гарантии для клиентов. В настоящее время используется голографические пломбы для закрытия USB — порта устройства на Model T, но это не защищает от взлома корпуса, поэтому разработчики начали работу над новым типом упаковки, которая позволит пользователям легче заметить, было ли устройство подделано во время доставки.
Совершенствование программного обеспечения
Внедряется решение, которое позволит команде проверять, какая прошивка установлена на устройстве. Прошивка Trezor и Trezor Suite получат обновление, которое позволит им автоматически вычислять хэши прошивок, установленных на подключенных устройствах. Затем эти хэши будут сравниваться с подлинными версиями прошивок, доступными от Trezor. Это будет дополнительная проверка поверх процесса загрузчика, который проверяет правильность подписи прошивки.
Склеивание аппаратных компонентов
Чтобы злоумышленникам было ещё сложнее обмениваться внутренними компонентами, команда внедряет ещё более жесткое скрепление между затронутыми компонентами и платой. В процессе производства, отдельные микросхемы будут приклеиваться к плате, а значит, у злоумышленника будет больше шансов повредить устройство, если он попытается его подделать. Хотя это не может полностью предотвратить попытку злоумышленников подделать устройство, это сделает её более сложной и дорогостоящей, увеличив их шансы на неудачу.
Стоит ли беспокоиться о поддельных устройствах?
Если вы купили устройство в официальном магазине, то очень маловероятно, что с вашим устройством что — то не так. Если при получении вашего заказа есть признаки фальсификации, или вы купили его у неавторизованного реселлера в России, просто обратитесь в службу поддержки Trezor или начните обсуждение на форуме Trezor, и вам расскажут, как проверить устройство на компрометацию.
Пример из практики
За последний месяц было зафиксировано несколько случаев продажи модифицированных аппаратных кошельков Trezor на российских торговых площадках. На устройствах использовалась версия загрузчика, которая не была выпущена.
Чтобы проверить устройство, купленное у неофициального продавца, версии прошивки и загрузчика можно сравнить с официальными версиями на GitHub.
В ходе расследования было обнаружено:
- Попытка обновить прошивку завершилась успешно, но вредоносная прошивка осталась.
- Некоторые функции, такие как резервное копирование Shamir, не работали на исследованных устройствах.
- Seed — фразы, генерируемые поддельными устройствами, были предсказуемы или, в некоторых случаях, предопределены и не менялись при повторной настройке устройства. Функция парольной фразы также была изменена.
- Все устройства были получены от продавцов на российском рынке.
- Проблема в основном присутствовала на устройствах Trezor Model T.
- Некоторые внутренние компоненты были заменены, что позволило злоумышленникам подделать поведение устройства и сделать его функции безопасности излишними.
Пользователи со взломанными устройствами испытывали аналогичные проблемы при использовании различных криптовалют, включая, помимо прочего
- Bitcoin
- Dogecoin
- Ripple
Некоторые из проблем, особенно невозможность доступа к кошелькам, защищенным парольной фразой, также возникали при использовании сторонних кошельков и импорте seed — фраз.
Это был редкий и довольно сложный случай, показывающий, что злоумышленники потренировались на многих устройствах, прежде чем создать те, которые были отправлены жертвам.
К сожалению, они смогли продать некоторые из своих поддельных устройств из — за отсутствия альтернатив на рынке в России в настоящее время. Подобное может произойти и в других странах, хотя мы не слышали ни об одном таком случае, поэтому лучше всего обращать внимание на такие «красные флажки», как места, где продаются кошельки, не доступные у официальных поставщиков, кошельки по подозрительно низким ценам или из неизвестных источников.