Ledger vs. Trezor: W poszukiwaniu idealnego portfela krypto

​Ledger i Trezor od wielu lat są najpopularniejszymi portfelami kryptowalutowymi. Jednak żadna z tych marek nie jest idealna, a luki w zabezpieczeniach znajdowano w obu niejednokrotnie. Im więcej takich incydentów się pojawia, tym częściej pada pytanie: który portfel można naprawdę uznać za niezawodny?

Trezor: Ataki poprzez chipy, stronę internetową i media społecznościowe

Kolejny powód do dyskusji o bezpieczeństwie Trezora pojawił się po raporcie Donjon, zespołu badawczego Ledgera. Jego specjaliści znaleźli lukę w chipie TROPIC1 stosowanym w portfelu Trezor Safe 7. Atak wymagał fizycznego dostępu do chipa, sprzętu laboratoryjnego i precyzyjnej ekspozycji na laser. Trezor oświadczył, że fundusze użytkowników są bezpieczne, ponieważ TROPIC1 jest tylko jedną z trzech warstw ochrony urządzenia.

Loading...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

To nie był pierwszy podobny epizod. W marcu 2025 r. Ledger Donjon zgłosił lukę w Trezor Safe 3. Dotyczyła ona ataku w przypadku fizycznej kradzieży portfela: problem był związany z mikrokontrolerem współpracującym z chronionym chipem. Trezor poinformował wówczas, że Safe 5 nie jest dotknięty tym problemem, a badaczom nie udało się wyodrębnić kluczy prywatnych ani kodów PIN z testowanego urządzenia.

Zdarzały się również ataki nie na samo urządzenie, ale na użytkowników Trezor. W 2024 r. firma ostrzegała przed kampanią phishingową: napastnicy wykorzystali formularz kontaktowy na oficjalnej stronie i wysyłali e-maile wyglądające jak odpowiedzi wsparcia technicznego. Trezor podkreślił, że nie doszło do wycieku adresów e-mail, ale przypomniał użytkownikom o głównej zasadzie: firma nigdy nie prosi o kopię zapasową portfela ani frazę seed.

W styczniu 2024 r. pojawiły się doniesienia o nieautoryzowanym dostępie do zewnętrznego portalu wsparcia. W marcu 2024 r. napastnik przejął konto firmy w serwisie X i zamieścił fałszywe informacje o przedsprzedaży w sieci Solana. Przypadki te nie oznaczały bezpośredniego zhakowania samych portfeli sprzętowych, ale pokazały, że celem atakujących może być nie tylko urządzenie, ale także kanały komunikacji między marką a użytkownikami.

Ledger: Chroniony portfel, podatny ekosystem

Ledger również jest daleki od ideału. Marka opiera się na chronionych chipach zaprojektowanych do izolowania kluczy prywatnych wewnątrz urządzenia. Jednak ostatnie lata pokazały, że celem atakujących może być coś więcej niż sam portfel. Aplikacje, partnerzy, biblioteki dla usług zdecentralizowanych i użytkownicy otrzymujący fałszywe e-maile od oszustów – wszystko to może stać się słabym punktem.

W styczniu 2026 r. Ledger zmierzył się z wyciekiem danych osobowych klientów za pośrednictwem swojego partnera płatniczego Global-e. Według badacza blockchain ZachXBT, luka u zewnętrznego dostawcy ujawniła dane kontaktowe użytkowników Ledgera. W liście do poszkodowanych klientów Global-e poinformowało, że wykryło podejrzaną aktywność w części swojej sieci. Firma potwierdziła nieautoryzowany dostęp do niektórych danych, w tym nazwisk i informacji kontaktowych klientów.

Loading...

Tweet został usunięty przez autora.

Ale wszystko zapisaliśmy 🙂.

W 2024 r. właściciele Ledgerów zostali uderzeni masowym atakiem phishingowym. Oszuści wysyłali e-maile w imieniu firmy, twierdząc, że doszło do naruszenia danych. Użytkownicy byli proszeni o „zweryfikowanie” swojej frazy seed na fałszywej stronie internetowej. Strona wyglądała jak oficjalny serwis Ledger, ale została stworzona w celu kradzieży danych. Jeśli ktoś wprowadził błędną frazę, strona wyświetlała błąd i prosiła o ponowną próbę, dopóki oszuści nie otrzymali poprawnej kombinacji.

W listopadzie 2024 r. w Microsoft Store znaleziono fałszywą aplikację Ledger Live. Użytkownicy pobierali ją, myśląc, że instalują oficjalny interfejs do pracy ze swoim portfelem. Według doniesień medialnych, fałszywa aplikacja pozwoliła napastnikom ukraść 768 000 USD.

Kolejny poważny incydent miał miejsce w grudniu 2023 r. Wtedy to biblioteka Ledger Connect Kit, używana przez zdecentralizowane aplikacje, została naruszona. Ledger poinformował, że przyczyną był atak phishingowy na byłego pracownika: napastnik zyskał możliwość przesłania złośliwego pliku do menedżera pakietów JavaScript. Według dyrektora generalnego Ledgera, Pascala Gauthiera, firma wraz z WalletConnect naprawiła exploit około 40 minut po jego wykryciu i wymieniła naruszoną bibliotekę.

Nie ma portfela idealnego

Historie Trezora i Ledgera pokazują, że luki mogą być bardzo różne. W jednym przypadku badacze testują chip laserem. W innym oszuści wysyłają e-maile, tworzą fałszywe strony lub przesyłają podrobioną aplikację do sklepu. Czasami problem tkwi wewnątrz urządzenia, czasami w usługach wokół niego, a czasami w zaufaniu użytkownika do znanej marki.

Na rynku dostępne są również inne portfele sprzętowe, takie jak urządzenia od Coinkite, BitBox, Keystone czy Tangem. Niektóre skupiają się tylko na Bitcoinie, inne opierają się na kartach, kodach QR, otwartym kodzie lub braku połączenia z komputerem. Jednak żadne z tych podejść nie eliminuje wszystkich ryzyk naraz. Im bardziej złożone urządzenie i szerszy jego ekosystem, tym więcej miejsc, w których może pojawić się słabe ogniwo.

W tej sytuacji idealny portfel krypto powinien chronić nie tylko klucze prywatne wewnątrz urządzenia. Powinien dokładnie pokazywać użytkownikowi, co podpisuje, unikać zbierania niepotrzebnych danych osobowych, posiadać przejrzysty system aktualizacji, przechodzić niezależne audyty i być odporny na ataki fizyczne. Ale nawet to nie wystarczy, jeśli właściciel wpisze swoją frazę seed na fałszywej stronie lub pobierze podrobioną aplikację.

Dlatego niezawodności portfela nie można sprowadzić do jednej marki czy jednego chipa. Ledger jest silniej kojarzony z ochroną sprzętową i zamkniętym, chronionym chipem. Trezor kojarzy się z otwartością i możliwością weryfikacji. Inni producenci oferują własne kompromisy. W rzeczywistości najbezpieczniejszym portfelem nie jest ten, w którym nigdy nie znaleziono luk, ale ten, w którym ryzyka są rozumiane z wyprzedzeniem, szybko naprawiane i nie zamieniają jednego błędu użytkownika w utratę wszystkich środków.