Tropic Square desarrolla TROPIC01, un chip destinado a proteger datos sensibles y realizar operaciones criptográficas. Diseña chips, pero no tiene una fábrica propia de semiconductores. Al publicar el diseño y la documentación busca facilitar investigaciones independientes de seguridad. El chip no es una cartera completa y su apertura no garantiza que el dispositivo sea invulnerable.
Al sostener una cartera de hardware vemos la carcasa, la pantalla y los botones. Dentro hay componentes con tareas distintas. Tropic Square desarrolla el chip de seguridad TROPIC01; otra empresa construye la cartera terminada que lo utiliza. Es una compañía fabless: diseña chips y encarga su fabricación física a terceros. El 6 de octubre de 2025 anunció la producción plena y la distribución mundial. Fue un hito de fabricación, no una promesa permanente de existencias para todas las variantes. [1]
Un especialista que quiera comprobar un componente necesita más que la afirmación del fabricante de que es seguro. El repositorio de TROPIC01 ofrece RTL, la descripción de los circuitos lógicos en código fuente, firmware, es decir, el programa del chip, y su arquitectura de seguridad. Describe el núcleo RISC-V que ejecuta instrucciones y SPECT, un coprocesador especializado en cálculos criptográficos. Publicar estos materiales permite examinarlos; no equivale por sí solo a haber superado una auditoría de seguridad. [2]
Imaginemos que una investigadora analiza el chip de un dispositivo determinado. Necesita documentación que corresponda a ese componente y a su firmware. Tropic Square advierte en GitHub que los repositorios públicos pueden no coincidir exactamente con los productos entregados: la publicación puede retrasarse y algunos materiales están sujetos a derechos de terceros. La apertura no se resume, por tanto, en una etiqueta. Una evaluación útil relaciona la referencia del componente, la versión del programa y la documentación adecuada. [3]
Entre un diseño en internet y el componente en una caja están la fabricación y la preparación inicial. La alianza con EPS Global anunciada en febrero de 2025 incluye programación segura, preparación de los chips y distribución. También interviene PKI, la infraestructura de clave pública: credenciales criptográficas y comprobaciones que ayudan a verificar la autenticidad del chip. Esto responde a la pregunta de su procedencia. No demuestra por sí solo que el diseño carezca de errores ni que el fabricante de la cartera lo haya integrado correctamente. [4]
Detrás de la documentación hay personas cuyas responsabilidades cambian. El 12 de mayo de 2026 Tropic Square anunció que su cofundador Jan Pleskač dejaba el cargo de CEO, director ejecutivo, y mantenía su participación en la empresa. Ladislav Veselý asumiría la dirección interina. Ser propietario de una parte del negocio y dirigir su actividad diaria son funciones distintas. Una entrevista antigua que presenta a Pleskač como director describe esa etapa; no acredita, sin nuevas comprobaciones, la dirección actual. [5]
El 3 de junio de 2026 la empresa describió un hallazgo de Ledger Donjon: la inducción de fallos mediante láser permitía eludir la verificación del firmware de TROPIC01. Es el programa cuya autenticidad el chip debe comprobar antes de ejecutarlo. El ataque exigía acceso físico, conocimientos especializados y un laboratorio; no era un ataque remoto corriente por internet. Se recomendó desactivar el modo de mantenimiento. La medida dificulta el ataque, pero no lo elimina. Reducir el riesgo y corregir por completo una vulnerabilidad no son lo mismo. [6]
Las consecuencias también dependen del dispositivo que integra el chip. Trezor explica que, en Trezor Safe 7, TROPIC01 protege parte del material secreto utilizado para proteger el PIN, el código personal de acceso. Según el fabricante, ni el PIN ni la copia de seguridad de la cartera se almacenan en ese chip, y participan otras capas de protección. Atacar un componente no demuestra automáticamente que se haya vulnerado la cartera completa. Tampoco esas capas adicionales la vuelven invulnerable. [7]
Tropic Square describe CVD, la divulgación coordinada de vulnerabilidades: investigadores y fabricante colaboran en verificar el problema, remediarlo e informar al público. Además de avisos de seguridad, publica erratas, listas de fallos y limitaciones conocidos, e informes de evaluación. Sus normas para investigar el chip no sustituyen las del fabricante del dispositivo final. Para el lector, lo práctico es seguir la versión concreta, el hallazgo publicado y la solución realmente disponible. Esos detalles dan contenido a la apertura. [8]
Para obtener la imagen más completa, lee esta entrada junto con Jan Pleskač, TROPIC01, SatoshiLabs, Secure Element. También enlazan con esta entrada Trezor, Marek «Slush» Palatinus, Secure Element, Jan Pleskač.