تطوّر Tropic Square رقاقة TROPIC01 لحماية البيانات الحساسة وإجراء عمليات التعمية. تصمّم الشركة الرقائق لكنها لا تملك مصنعًا لإنتاج أشباه الموصلات. وتريد، بنشر مواد التصميم والوثائق، إتاحة أبحاث أمنية مستقلة. لكن الرقاقة ليست محفظة كاملة، وإتاحة تصميمها للفحص لا تضمن أن الجهاز كله محصّن من الهجمات.
حين تمسك محفظة عتادية، ترى الهيكل والشاشة والأزرار. أما في الداخل فتؤدي مكوّنات مختلفة مهام مختلفة. تطوّر Tropic Square الرقاقة الأمنية TROPIC01، بينما تبني شركة أخرى المحفظة النهائية التي تستخدمها. تعمل Tropic Square وفق نموذج fabless: تصمّم الرقائق وتكلّف جهات أخرى بتصنيعها فعليًا. وفي 6 أكتوبر 2025 أعلنت الإنتاج الكامل والتوزيع العالمي. كان ذلك إنجازًا في مسار الإنتاج، لا وعدًا دائمًا بأن كل إصدار سيظل متوافرًا في المخزون. [1]
يحتاج المختص الذي يريد التحقق من سلوك مكوّن إلى أكثر من قول الشركة إنه آمن. يوفّر مستودع TROPIC01 وصف RTL، أي الشفرة التي تصف الدارات المنطقية، والبرمجيات الثابتة، أي البرنامج الذي يعمل داخل الرقاقة، وبنيتها الأمنية. ويشرح نواة RISC-V التي تنفّذ التعليمات والمعالج المساعد SPECT المتخصص في الحسابات المعتمدة على التعمية. تتيح هذه المواد الفحص، لكن نشرها ليس في حد ذاته نتيجة تدقيق أمني ناجح. [2]
لنتخيّل باحثة تفحص رقاقة في جهاز معين. تحتاج إلى وثائق تطابق ذلك المكوّن وبرمجياته الثابتة. تنبّه Tropic Square على GitHub إلى أن المستودعات العامة قد لا تطابق المنتجات المشحونة بدقة: قد يتأخر النشر، وتقيّد حقوق الأطراف الأخرى بعض المواد. لذلك لا يكفي وصف المنتج بأنه مفتوح. التقييم المفيد يربط رقم المكوّن وإصدار البرنامج والوثائق المناسبة بعضها ببعض. [3]
بين التصميم على الإنترنت والمكوّن داخل العلبة تأتي مراحل التصنيع والتهيئة الأولية. تشمل شراكة EPS Global المعلنة في فبراير 2025 البرمجة الآمنة وتهيئة الرقائق وتوزيعها. وتتضمن PKI، البنية التحتية للمفاتيح العامة: شهادات رقمية وعمليات تحقق تعتمد على التعمية وتساعد في إثبات أصالة الرقاقة. هذا يجيب عن سؤال مصدر المكوّن. لكنه لا يثبت بمفرده خلو التصميم من العيوب أو أن مصنّع المحفظة دمج الرقاقة بطريقة صحيحة. [4]
وراء الوثائق التقنية أشخاص تتغير مسؤولياتهم. في 12 مايو 2026 أعلنت Tropic Square أن المؤسس المشارك Jan Pleskač سيترك منصب CEO، أي الرئيس التنفيذي، مع الاحتفاظ بحصته في الشركة. وكان Ladislav Veselý سيتولى الإدارة مؤقتًا. امتلاك حصة وإدارة العمل اليومي دوران مختلفان. لذلك تصف مقابلة قديمة تقدّم Pleskač بوصفه مديرًا مرحلة بعينها، ولا تكفي لإثبات هوية الإدارة الحالية دون تحقق إضافي. [5]
في 3 يونيو 2026 شرحت الشركة اكتشاف فريق Ledger Donjon: يمكن لأعطال يسببها الليزر أن تتجاوز التحقق من برمجيات TROPIC01 الثابتة. والمقصود البرنامج الذي يفترض أن تتحقق الرقاقة من أصالته قبل تشغيله. تطلّب الهجوم وصولًا ماديًا إلى الرقاقة وخبرة ومختبرًا متخصصًا؛ ولم يكن هجومًا عاديًا عن بُعد عبر الإنترنت. أوصى الإعلان بتعطيل وضع الصيانة. يزيد هذا صعوبة الهجوم، لكنه لا يزيله بالكامل. لذا يجب التمييز بين تخفيف الخطر وإصلاح الثغرة نهائيًا. [6]
يتوقف الأثر أيضًا على الجهاز الذي يستخدم الرقاقة. توضّح Trezor أن TROPIC01 في Trezor Safe 7 تحمي جزءًا من البيانات السرية المستخدمة لحماية PIN، رمز الدخول الشخصي. ووفقًا للمصنّع، لا يُخزّن الرمز نفسه ولا النسخة الاحتياطية للمحفظة في هذه الرقاقة، وتشارك طبقات حماية أخرى في النظام. لذلك لا يثبت الهجوم على مكوّن تلقائيًا اختراق المحفظة كاملة. وفي المقابل، لا تجعل الطبقات الإضافية الجهاز محصّنًا من كل هجوم. [7]
تشرح Tropic Square آلية CVD، الإفصاح المنسق عن الثغرات: يتعاون الباحثون والمصنّع في التحقق من المشكلة ومعالجتها وإبلاغ الجمهور. وإلى جانب التنبيهات الأمنية تنشر errata، أي قوائم العيوب والقيود المعروفة، وتقارير التقييم. ولا تحل قواعد بحث الرقاقة محل قواعد مصنّع الجهاز النهائي. بالنسبة إلى القارئ، النهج العملي هو متابعة الإصدار المحدد والنتيجة المنشورة والعلاج المتاح فعلًا. هذه التفاصيل هي التي تمنح الانفتاح معنى ملموسًا. [8]
للحصول على صورة أوضح، اقرأ هذا المدخل مع Jan Pleskač, TROPIC01, SatoshiLabs, Secure Element. تشير إلى هذا المدخل أيضًا Trezor, Marek «Slush» Palatinus, Secure Element, Jan Pleskač.