Все уже слышали недавнюю новость про Ledger?

Если кратко, то официальный реселлер Ledger в Юго-Восточной Азии продал партию модифицированных устройств, благодаря которым злоумышленники прибрали к рукам ~$72-86 млн.

И хотя в Твиттере сейчас обсуждают саму атаку, я бы хотел напомнить о кое-чем более важном:

Аппаратные кошельки - не панацея.

Они требуются, чтобы вынести приватные ключи из потенциально опасной среды (компьютера или телефона) в среду изолированную.

И… в общем-то все.

Сама по себе покупка аппаратного кошелька не обнуляет твои риски, потому что у него есть свои уязвимые места.

То, что случилось 9 октября - отличный пример атаки на цепочку поставок (которую не предотвратили даже «официалы»).

Ничего особенного при этом в атаке нет.

Любой, кто интересовался работой аппаратных кошельков, в курсе такой возможности.

Для особо чувствительных натур скажу отдельно:

Нет, это не значит, что аппаратные кошельки небезопасны и нужно прямо сейчас выкинуть их в мусорку.

Никакой - даже самый дорогой и хитровыдуманный - кошелек не защитит тебя, если ты не понимаешь, как он устроен и как его могут атаковать.

Я, например, с 2016 года пользуюсь MetaMask, и мои активы ни разу не находились под угрозой.

У меня есть аппаратные кошельки, но нужды в них нет, поскольку я знаю ключевые механизмы безопасности и уверен в чистоте своих устройств.

А многие до сих пор думают, что сложность системы безопасности определяет ее надежность...

Ребят, это совсем не так.

Чаще бывает наоборот: человек ставит защитный механизм, не понимая, зачем он ему нужен, и в итоге сам теряет доступ к своим деньгам.

Так что тех, кто действительно хочет защитить активы, я призываю выстраивать систему безопасности, исходя из реальных угроз и возможных векторов атаки.

Если к тебе могут прийти с паяльником, то ни аппаратный, ни какой-либо другой кошелек тебя не спасет.

Каждое решение в вопросе безопасности должно быть обосновано твоими обстоятельствами и пониманием того, от чего ты защищаешься.

Вот и все.