Tropic Square розробляє TROPIC01 — чип для захисту чутливих даних і виконання криптографічних операцій. Компанія проєктує чипи, але не має власної напівпровідникової фабрики. Публікуючи проєктні матеріали й документацію, вона прагне уможливити незалежне дослідження безпеки. Сам чип не є гаманцем, а відкритість не гарантує невразливості всього пристрою.
Тримаючи апаратний гаманець, ми бачимо корпус, екран і кнопки. Усередині різні компоненти виконують різні завдання. Tropic Square розробляє захисний чип TROPIC01, а готовий гаманець із ним створює інша компанія. Tropic Square працює за моделлю fabless: проєктує чипи, а фізичне виробництво замовляє в інших підприємств. 6 жовтня 2025 року вона оголосила про повномасштабне виробництво та світову дистрибуцію. Це був виробничий рубіж, а не постійна обіцянка наявності кожного різновиду на складі. [1]
Фахівцеві, який перевіряє поведінку компонента, недостатньо запевнення виробника в його безпеці. Репозиторій TROPIC01 надає RTL — вихідний опис логічних схем, firmware, тобто програму чипа, та опис архітектури безпеки. У ньому описано ядро RISC-V, що виконує інструкції, і SPECT — спеціалізований співпроцесор для криптографічних обчислень. Ці матеріали дають змогу проводити дослідження. Саме оприлюднення ще не є результатом успішного аудиту безпеки. [2]
Уявімо дослідницю, яка перевіряє чип у певному пристрої. Їй потрібна документація саме до цього компонента та його firmware. На GitHub Tropic Square попереджає, що публічні репозиторії можуть не повністю відповідати поставленим виробам: публікація іноді затримується, а частину матеріалів обмежують права третіх сторін. Отже, відкритість не зводиться до позначки на виробі. Змістовна перевірка пов’язує позначення чипа, версію програми й відповідні документи. [3]
Між проєктом в інтернеті та компонентом у коробці є виробництво й початкова підготовка. Партнерство з EPS Global, оголошене в лютому 2025 року, охоплює безпечне програмування, підготовку чипів і дистрибуцію. Воно передбачає PKI, інфраструктуру відкритих ключів: криптографічні посвідчення та перевірки для підтвердження справжності чипа. Це допомагає з’ясувати його походження. Але саме по собі не доводить безпомилковості проєкту чи правильності інтеграції в готовий гаманець. [4]
За технічними документами стоять люди, чиї обов’язки змінюються. 12 травня 2026 року Tropic Square оголосила, що співзасновник Ян Плескач залишає посаду CEO, тобто генерального директора, зберігаючи частку в компанії. Тимчасово керівництво мав перебрати Ladislav Veselý. Володіти часткою та щоденно керувати бізнесом — різні ролі. Тому давніше інтерв’ю з Плескачем як директором описує певний період; без додаткової перевірки воно не визначає нинішній склад керівництва. [5]
3 червня 2026 року компанія описала знахідку Ledger Donjon: збої, спричинені лазером, давали змогу обійти перевірку firmware TROPIC01. Йдеться про програму, справжність якої чип має перевіряти перед запуском. Атака вимагала фізичного доступу, спеціальних знань і лабораторії; це не була звичайна дистанційна атака через інтернет. У повідомленні рекомендували вимкнути режим обслуговування. Це ускладнює атаку, але не усуває її. Тому зниження ризику слід відрізняти від повного усунення вразливості. [6]
Наслідки залежать і від пристрою, у якому використано чип. Trezor пояснює, що в Trezor Safe 7 TROPIC01 захищає частину секретних даних, які використовують для захисту PIN — особистого коду доступу. За словами виробника, сам PIN і резервна копія гаманця в цьому чипі не зберігаються, а в захисті беруть участь інші шари. Атака на компонент тому не доводить автоматично злам усього гаманця. Водночас додаткові шари не роблять пристрій невразливим. [7]
Tropic Square описує CVD — узгоджене розкриття вразливостей: дослідники й виробник координують перевірку проблеми, виправлення та інформування громадськості. Поряд із повідомленнями про безпеку компанія публікує errata, тобто переліки відомих помилок і обмежень, та звіти про оцінювання. Її правила дослідження чипа не замінюють правил виробника кінцевого пристрою. Читачеві варто стежити за конкретною версією, оприлюдненою знахідкою та реально доступним виправленням. Саме ці подробиці надають відкритості практичного змісту. [8]
Для повної картини прочитайте також Jan Pleskač, TROPIC01, SatoshiLabs, Secure Element. На цю статтю також посилаються Trezor, Марек «Slush» Палатінус, Secure Element, Jan Pleskač.