Ledger и Tangem спорят о лазерной уязвимости карт

Исследовательское подразделение Ledger Donjon опубликовало отчёт, в котором говорится о лазерной атаке (Laser Fault Injection, LFI) на защищённый элемент Samsung S3D232A, используемый в картах Tangem. По версии авторов, один лазерный импульс позволил обойти проверку восстановления пароля и установить новый PIN без знания старого или резервной карты.

В отчёте указывается, что уязвимость сохраняется даже при отключённой функции восстановления, а устройства Tangem не поддерживают обновление прошивки, поэтому исправление программным путём невозможно. Для успешной атаки исследователи назвали ряд требований: физический доступ к карте, лабораторное оборудование стоимостью около $250 000, глубокие знания аппаратной безопасности, предварительный анализ модели и примерно два часа на непосредственное выполнение операции после подготовки. Авторы также отмечают, что после сброса PIN злоумышленник получает возможность подписывать транзакции и выводить средства.

В официальном ответе Tangem описали обнаруженную проблему как пример общей категории физических атак на защищённые микросхемы и указали, что такие атаки выполняются только в лабораторных условиях. В сообщении компании отмечено: «LFI — это физическая атака, которую можно выполнить только в лабораторных условиях. Она не масштабируется, не может быть осуществлена удалённо и оставляет видимые повреждения карты». Tangem также указали, что для эксплуатации потребуются лаборатория стоимостью более $250 000, редкая экспертиза, физическое владение картой и недели подготовки.

В ответе Tangem фигурирует замечание о том, что Ledger Donjon входит в структуру одного из её крупных конкурентов. Стороны согласны в одном факте: дистанционная эксплуатация уязвимости невозможна. Расхождения касаются оценки трудозатрат, стоимости и масштабируемости атаки.

Реакция криптосообщества и специалистов разошлась. В отчётах упоминали, что неизменяемая прошивка Tangem исключает появление новых программных векторов после обновлений. Один пользователь назвал атаку «операцией уровня государственных структур», другой инженер указал, что большинство реальных компрометаций кошельков связаны с фишингом, социальной инженерией и вредоносным ПО, и призвал пользователей защищать seed‑фразы.

Дискуссия совпадает с ростом числа атак в криптоиндустрии: по отраслевым отчётам за первое полугодие 2026 года зарегистрировано 207 хакерских атак, оценки суммарных потерь варьируются — порядка $972 млн по одной оценке и $1,32 млрд по другой. В материалах отрасли также отмечается, что инструменты на базе искусственного интеллекта ускоряют поиск уязвимостей в смарт‑контрактах, что повышает спрос на повторные аудиты безопасности.

Предыстория: лазерные и другие физические методы внесения ошибок давно известны в аппаратной безопасности. Устойчивость аппаратных кошельков к таким атакам зависит от конструкции чипа и применённых методов защиты. В текущем споре Ledger Donjon указывает на техническую возможность обхода защиты в лабораторных условиях, а Tangem подчёркивает ограничения практической эксплуатации против обычных пользователей.