Mọi người đều biết chuyện gì đã xảy ra với Ledger gần đây. Nhưng bài học thực sự là gì? Một nhà phân phối đã cài đặt thiết bị bị gắn thiết bị theo dõi bên trong. Thiết bị này quan sát màn hình trong quá trình thiết lập, đánh cắp chuỗi 24 từ và gửi đi qua LTE. Secure Element không hề bị xâm phạm. Kiểm tra xác thực vẫn qua được. Đây không chỉ là vấn đề của Ledger. Nó áp dụng cho bất kỳ sản phẩm vật lý nào bạn mua: ví phần cứng khác, điện thoại đã qua sử dụng, thiết bị “mới” từ nhà phân phối — bất cứ thứ gì nằm giữa nhà máy và tay bạn. Độ an toàn của bạn chỉ mạnh bằng con đường sản phẩm đó đã đi qua để đến với bạn. Các biện pháp OPSEC cơ bản thực sự quan trọng: - Mua trực tiếp từ trang web của nhà sản xuất whenever possible. Loại bỏ hầu hết rủi ro chuỗi cung ứng phần cứng. - Với số tiền lớn hơn → chỉ dùng multisig. Một thiết bị bị xâm phạm không thể di chuyển bất kỳ khoản nào một mình. - Chống lại các lỗ hổng phần mềm: đặt lại / cài đặt lại thiết bị (hoặc môi trường khóa) hai hoặc ba lần trước khi coi nó là sạch. - Không bao giờ tin tưởng seed (hoặc dữ liệu riêng tư) từ thiết bị có bất kỳ nghi ngờ nào về nguồn gốc của nó. - Thử nghiệm với số tiền nhỏ trước. Luôn giả định tình huống xấu nhất khi thiết lập lần đầu. Phần cứng vẫn hoạt động tốt. Luôn luôn nghi ngờ về bảo mật.