TROPIC01

Perangkat tidak harus melakukan semua perhitungan sensitif pada prosesor utamanya. Sebagian pekerjaan dapat diserahkan kepada chip keamanan khusus. TROPIC01 memiliki inti RISC-V yang menjalankan instruksi program serta SPECT, koprosesor untuk perhitungan kriptografis. Firmware adalah program di dalam chip; RTL merupakan deskripsi sumber rangkaian logikanya. Dokumentasi publik memberi ahli akses ke rincian ini. Pemeriksaan menjadi mungkin, tetapi bukan berarti setiap blok internal pada semua versi yang dikirim sudah terbuka atau telah diverifikasi secara independen. [1]

Di balik nama chip ada nomor komponen tepat yang mengidentifikasi perangkat lunak awal dan konfigurasi pabrik permanen. Misalnya, tabel Part Numbers mencantumkan firmware aplikasi 0.5.0 dan firmware SPECT 0.3.1 untuk TR01-C2P-T202. Program tersebut dapat diperbarui kemudian. Sebaliknya, beberapa pengaturan dan rantai sertifikat, yaitu bukti untuk memeriksa asal komponen, ditetapkan permanen ketika disiapkan di pabrik. Karena itu, penilaian chip tertentu membutuhkan versi yang benar-benar terpasang, bukan hanya namanya. [2]

Pengembang memerlukan cara mengirim permintaan ke chip dan membaca jawabannya. Itulah fungsi libtropic, sebuah SDK, kumpulan alat pengembangan aplikasi yang memakai chip ini. Pustaka tersebut berjalan pada perangkat yang menggunakan TROPIC01; bukan firmware internal chip. API adalah antarmuka yang menentukan perintah dan jawaban yang disepakati. Dokumentasi memasangkan firmware dengan API dan lembar data teknisnya. Jadi, memperbarui pustaka tidak otomatis memperbarui chip; versi-versinya harus cocok. [2] [3]

Dalam laporan 3 Juni 2026, Ledger Donjon menjelaskan pengujian sampel komersial dengan bootloader v2.0.1. Bootloader adalah program awal yang seharusnya memeriksa firmware sebelum mengizinkannya berjalan. Peneliti memicu gangguan dengan laser dan melewati pemeriksaan tanda tangan Ed25519, bukti kriptografis keaslian program. Mereka tidak memecahkan matematika Ed25519, melainkan mengganggu pemeriksaan yang dijalankan chip. Ini pengujian fisik dengan akses ke komponen dan peralatan khusus, bukan serangan jarak jauh melalui internet. [4]

Pembedaan memori dan eksekusi membantu di sini. Menurut produsen, firmware yang diubah dapat tetap berada dalam memori TROPIC01 setelah listrik dimatikan. Namun, chip memeriksa keasliannya lagi ketika dinyalakan. Dalam serangan yang dilaporkan, setiap penyalaan memerlukan gangguan fisik baru terhadap pemeriksaan tersebut. Data penyerang yang tersimpan tidak dengan sendirinya membuat program terus berjalan tanpa campur tangan. Ini batas penting dari temuan, bukan alasan untuk mengabaikan kerentanan. [5]

MAC-and-Destroy mengeluarkan rahasia yang sesuai jika menerima masukan yang benar dan membatasi jumlah percobaan melalui perangkat keras. Setelah batas habis, rahasia itu tidak dapat dipulihkan lagi. Pengujian awal Ledger Donjon tidak menembusnya meski sudah bisa menjalankan firmware sendiri. Namun, analisis internal lanjutan Tropic Square menemukan jalur untuk melewatinya, dan pengujian independen berikutnya juga berhasil menembus perlindungan. Produsen menahan rincian sementara waktu. Kasus ini menunjukkan bahwa belum berhasil tidak membuktikan serangan mustahil. [4] [5]

Pengumuman 2026 menyarankan mematikan mode pemeliharaan yang memberi akses ke mekanisme pembaruan. Ini mempersulit serangan tanpa menghilangkannya. Produsen juga menjelaskan revisi perangkat keras yang diperkuat dan direncanakan untuk akhir 2026. Rencana tidak boleh disebut perbaikan yang sudah dikirim, dan chip lama tidak otomatis memiliki sifat revisi baru. Bagi pengguna, yang penting ialah pengumuman produsen perangkatnya: unit mana yang terdampak dan solusi apa yang sungguh tersedia. [5]

Trezor menjelaskan bahwa TROPIC01 pada Trezor Safe 7 melindungi sebagian bahan rahasia untuk melindungi PIN, kode akses pribadi. Menurut produsen, PIN itu sendiri dan cadangan dompet tidak berada dalam chip ini, dan lapisan perlindungan lain turut bekerja. Temuan pada komponen karena itu tidak otomatis berarti seluruh dompet telah dibobol. Menjanjikan kekebalan juga sama kelirunya. Kesimpulan yang kuat menghubungkan produk dan konfigurasinya dengan apa yang benar-benar dibuktikan oleh pengujian. [6]