Обновление прошивки аппаратного кошелька: когда обновлять, а когда лучше подождать

Аппаратный кошелек покупают, чтобы он спокойно лежал в ящике и не создавал проблем. Обычно так и происходит, пока в приложении не появляется уведомление: доступно обновление прошивки аппаратного кошелька. И тут пользователи делятся на два лагеря, которые совершают противоположные ошибки: одни годами остаются на прошивке с уже задокументированными уязвимостями, потому что «и так работает», другие паникуют из-за каждого письма о «срочном обновлении», переходят по ссылке, скачивают поддельное приложение и сами отдают сид-фразу мошенникам.

Разберемся, как обновление устроено изнутри, что происходит с сидом, если устройство зависнет посреди процесса, какие уязвимости последних лет производители закрывали именно через прошивку и почему иногда одного firmware update уже недостаточно. В конце будет конкретный алгоритм: когда обновляться сразу, когда лучше подождать неделю-две, а когда устройство вообще не стоит трогать до планового использования.

Что такое прошивка и чем она управляет

Прошивка, или firmware, — это низкоуровневое системное ПО аппаратного кошелька, которое выполняет роль его операционной системы. Она управляет генерацией криптографической случайности, созданием и использованием ключей, разбором транзакций, выводом данных на экран и процессом подписи после вашего подтверждения. Конкретная архитектура отличается от модели к модели, но именно прошивка определяет значительную часть поведения устройства.

Отсюда важный вывод: Secure Element не делает прошивку неважной. В разных кошельках границы доверия устроены по-разному: часть критической логики может работать внутри защищенного чипа, часть — на основном микроконтроллере. Но скомпрометированная прошивка все равно может подменять то, что показывает устройство, манипулировать генерацией случайности или использовать разрешенные операции с ключами не так, как ожидает владелец. Secure Element способен ограничить отдельные классы атак, но не заменяет доверие к цепочке загрузки и источнику прошивки.

Поэтому обновление прошивки аппаратного кошелька — вещь с двумя сторонами. Это канал, через который производитель доставляет исправления уязвимостей, но одновременно именно через него меняется код, которому вы доверяете свои ключи. Практический вопрос не в том, «обновляться или нет», а в том, откуда взялся релиз, что именно он меняет и нужно ли действовать прямо сейчас.

Как работает обновление прошивки аппаратного кошелька изнутри

В современных аппаратных кошельках обновление проходит через цепочку доверия при загрузке. Производитель криптографически подписывает релиз, а устройство проверяет его перед запуском. Реализация зависит от архитектуры конкретной модели: например, в современных Trezor неизменяемым корнем доверия служит boardloader, тогда как сам bootloader может обновляться. Поэтому упрощенное правило «bootloader всегда неизменяемый» подходит не для всех устройств.

У крупных производителей общая логика похожа, но детали отличаются:

• Ledger обновляется через Ledger Wallet, ранее Ledger Live. Во время работы приложение выполняет Genuine Check: Secure Element устройства криптографически подтверждает его подлинность перед серверами Ledger. Отдельно цепочка Secure Boot контролирует, какой код может выполняться на устройстве.
• Trezor обновляется через Trezor Suite, а прошивка проверяется самой цепочкой загрузки устройства. Неофициальный код сопровождается явными предупреждениями; на отдельных моделях и в определенных сценариях установка кастомной прошивки также стирает данные устройства. Конкретное поведение зависит от модели.
• Keystone и другие модели, которые обновляются через microSD, позволяют перенести файл прошивки без прямого USB-подключения. Для совместимых Keystone официальная инструкция также предусматривает сверку SHA-256 файла перед установкой. Для Keystone 3 Pro у нас есть отдельный пошаговый гайд по обновлению прошивки через microSD и USB.
• Blockstream Jade обновляется через официальное приложение Blockstream или официальные файлы прошивки. Blockstream отдельно предупреждает, что не отправляет пользователям файл прошивки или ссылку на «срочное обновление» по электронной почте.

Отдельный механизм защиты — anti-rollback, то есть запрет на возврат к уже известной уязвимой версии. Если в релизе N закрыли критическую проблему, злоумышленник не должен иметь простого способа убедить пользователя «вернуться на стабильную старую версию». Blockstream добавила anti-rollback в Jade firmware 1.0.38 в ноябре 2025 года после исправления реальной уязвимости в предыдущих релизах.

Что происходит с сидом во время обновления

При штатном обновлении сид и ваши адреса не должны меняться. Прошивка обновляет системное ПО устройства, а не сам кошелек в блокчейне. После нормального завершения процесса вы продолжаете пользоваться теми же ключами, адресами и балансами.

Но обновление может пойти не по плану. Если в середине процесса пропадет питание, оборвется соединение или произойдет сбой, некоторые устройства могут стереть память и потребовать восстановления. Монеты при этом не исчезают: они остаются в блокчейне, а доступ восстанавливается с помощью правильной сид-фразы. Настоящая проблема начинается, если резервная копия потеряна, неполная или записана с ошибкой.

Почему обновляться нужно: что исправляли в 2025–2026 годах

Исследования безопасности обычно проходят по модели responsible disclosure: исследователь сообщает о проблеме производителю, дает время на исправление, а технические детали публикуют позже — сразу после патча или по окончании согласованного срока раскрытия. Поэтому старая прошивка со временем может превратиться из «проверенной версии» в документированную цель, для которой уже известны условия атаки.

Blockstream Jade, ноябрь 2025 года. Исследовательская группа DARKNAVY обнаружила переполнение буфера в RPC-команде register_descriptor, появившейся еще в firmware 1.0.24. В версиях 1.0.24–1.0.35 вредоносный софт на подключенном компьютере или смартфоне мог не только вывести Jade из строя, но и при определенных условиях добиться ограниченного выполнения кода; для 1.0.36 Blockstream подтверждала возможность сбоя, но не заявляла об известном пути выполнения кода. QR-сценарий без такого интерфейса уязвимость не затрагивала. Blockstream подтвердила проблему в течение 24 часов после получения полного отчета, выпустила 1.0.37 с исправлением, а затем 1.0.38 с anti-rollback. Признаков эксплуатации в реальном мире компания не обнаружила.

Trezor Safe 3, март 2025 года. Ledger Donjon публично продемонстрировала атаку на микроконтроллер TRZ32F429 с помощью voltage glitching. При физическом доступе к устройству до того, как оно попадет к пользователю, такая техника позволяла обойти часть защиты от supply-chain атак и модифицировать код на основном микроконтроллере, сохранив возможность выдать устройство за подлинное. Trezor Safe 5 эта конкретная проблема не затронула: в нем используется более новый STM32U5, устойчивый к подобному классу атак. Важный нюанс: это сложный физический сценарий, а не удаленный взлом любого Safe 3 через интернет.

Trezor Safe 7, июнь 2026 года. Ledger Donjon в лабораторных условиях применила laser fault injection к TROPIC01 и при специально подобранных условиях смогла обойти проверку подписи прошивки этого чипа. После этого Tropic Square описала дополнительные меры защиты на уровне firmware и подготовила новую аппаратную ревизию чипа. Но для владельцев Safe 7 важна вторая половина истории: Trezor заявила, что этот сценарий не дает атакующему PIN, wallet backup или доступ к средствам, а владельцам Safe 7 не требовалось срочно предпринимать какие-либо действия. Это хороший пример того, почему отчет об уязвимости нужно читать целиком, а не делать вывод только по заголовку про «обход проверки подписи».

COLDCARD, июль 2026 года. Здесь последствия оказались уже не лабораторными. Из-за ошибки интеграции в уязвимых версиях прошивки при генерации нового сида использовался слабый программный PRNG, то есть псевдослучайный генератор, вместо предусмотренного аппаратного источника случайности. Атакующие восстанавливали ослабленные приватные ключи офлайн и выводили реальные средства. Coinkite выпустила исправленные версии, но отдельно подчеркнула критически важную деталь: обновление прошивки не исправляет сид, который уже был создан с недостаточной энтропией. Если сид относится к затронутой категории, нужна миграция средств на новый безопасный сид, а не только firmware update. Подробно этот инцидент мы разобрали в отдельной статье о взломе COLDCARD и миграции уязвимого сида.

Этот случай дополняет простое правило «поставил патч — проблема закрыта». Иногда обновление исправляет только будущую работу устройства, а состояние, созданное старой версией, остается небезопасным. Поэтому после серьезного уведомления об уязвимости нужно читать не только номер нового релиза, но и инструкцию производителя: достаточно ли обновиться или необходимо также заменить сид, ключ, PIN либо другой уже созданный секрет.

И классический исторический пример: еще в 2018 году исследователь Saleem Rashid продемонстрировал подмену прошивки на Ledger Nano S, после чего Ledger закрыла проблему в firmware 1.4.1. Уязвимости находят и спустя годы после выхода устройств, а firmware update остается главным способом доставить программное исправление на уже проданное железо.

Почему не стоит нажимать кнопку в день каждого релиза

Обратный аргумент тоже имеет основания: не каждое обновление является security fix. Новый релиз может добавлять функции, менять интерфейс или перестраивать часть логики устройства. Иногда такие изменения важнее обычной строки в changelog.

Самый известный пример — Ledger Recover. В мае 2023 года Ledger анонсировала будущий сервис резервного восстановления и добавила необходимую поддержку в Ledger OS 2.2.1 для Nano X. После резкой реакции сообщества компания отложила запуск, опубликовала технические материалы, а сам Ledger Recover запустила в октябре 2023 года. Сервис остался добровольным: его нужно отдельно активировать и подтвердить на устройстве.

После активации Secure Element шифрует материал, из которого восстанавливается Secret Recovery Phrase, делит его на три фрагмента и передает их по защищенным каналам трем провайдерам — Ledger, Coincover и EscrowTech. Восстановление привязано к проверке личности. Само обновление не отправляет сид куда-либо автоматически, но появление Recover сделало для многих пользователей заметной важную границу доверия: подписанная производителем прошивка технически способна выполнять новые операции с секретным материалом внутри Secure Element после разрешения пользователя.

Именно это и вызвало основную дискуссию. Раньше официальная коммуникация Ledger часто воспринималась как утверждение, что сид в принципе не может покинуть Secure Element, а во время спора вокруг Recover компания пояснила, что технически firmware, которому доверяет пользователь, всегда была частью этой модели безопасности. Урок здесь шире одного бренда: крупный функциональный релиз может изменить модель доверия к устройству, даже если не закрывает ни одной уязвимости.

Поэтому пауза в одну-две недели после крупного функционального релиза часто имеет смысл: за это время появляются первые отчеты о багах, обсуждения на GitHub и пояснения производителя. Если в release notes нет критического security fix и устройство работает нормально, несколько дней ожидания обычно ничего не меняют. Релизы безопасности и функциональные релизы стоит оценивать по-разному.

Фейковые обновления: почему источник важнее номера версии

Даже лучший secure boot не поможет, если пользователя убедили скачать поддельное приложение и собственноручно ввести в него сид-фразу. Именно поэтому фишинговые «обновления» остаются одним из самых практичных способов атаковать владельцев аппаратных кошельков: мошеннику не нужно взламывать Secure Element, если жертва сама отдает секрет. Отдельно механику таких атак мы разбирали в материале о крипто-фишинге и поддельных письмах.

Сентябрь 2025 года, Blockstream Jade. Владельцы Jade начали получать письма от имени Blockstream о якобы срочном обновлении прошивки. Сообщения выглядели убедительно, содержали номера версий и фирменное оформление. После публичного предупреждения Blockstream подтвердила, что не отправляет пользователям firmware-файлы или ссылки на обновление по электронной почте и не просит recovery phrase. Компания не сообщала о подтвержденных случаях компрометации Jade через эту кампанию.

Ноябрь 2023 года, фейковый Ledger Live в Microsoft Store. В магазине Microsoft появилось приложение Ledger Live Web3, копировавшее настоящий интерфейс и просившее ввести 24 слова «для восстановления доступа». После предупреждения ZachXBT приложение удалили 5 ноября, но к тому моменту с связанных адресов уже вывели не менее примерно $768 тысяч.

Апрель 2026 года, фейковый Ledger в Mac App Store. Поддельное приложение прошло модерацию Apple и в период с 7 по 13 апреля было связано как минимум примерно с $9,5 млн похищенных активов у более чем 50 жертв. Механика была той же: во время «настройки» пользователя просили ввести 24 слова. Взламывать сам Ledger при этом не требовалось — достаточно было получить сид.

Практические правила здесь простые:

• Не устанавливайте прошивку из вложения в письме, мессенджере или по случайной ссылке. Если получили сообщение о релизе, самостоятельно откройте официальное приложение или сайт производителя.
• Приложение-компаньон скачивайте через официальный сайт производителя. Если производитель использует App Store или Google Play для мобильной версии, переходите туда по ссылке с официального сайта, а не ищите название наугад.
• Штатное обновление не требует ввода сид-фразы на компьютере или смартфоне. Если программа просит 12 или 24 слова, остановитесь и ничего не вводите.

Dark Skippy: что может сделать вредоносная прошивка

Насколько опасной может быть именно вредоносная прошивка, хорошо показывает Dark Skippy — proof-of-concept, который в августе 2024 года опубликовали Lloyd Fournier, Nick Farrow и Robin Linus.

При подписи Bitcoin-транзакции кошелек использует одноразовое значение nonce. В Dark Skippy вредоносная прошивка формирует nonce так, чтобы скрытно кодировать в подписях фрагменты секретной энтропии, связанной с 12-словным сидом. Подписи публичны, поэтому атакующий может увидеть их в сети, применить специальный алгоритм восстановления слабых nonce и реконструировать секрет. В базовой демонстрации достаточно двух подписей.

Самое неприятное в том, что транзакции внешне выглядят нормально, а сид не обязательно должен быть создан на зараженном устройстве: достаточно импортировать его и подписать нужные транзакции скомпрометированной прошивкой. Публичных подтверждений использования Dark Skippy против реальных пользователей нет, но сам механизм показывает, почему подлинность прошивки важна не меньше, чем защита приватного ключа в памяти. Проверку устройства, официального приложения и первичную настройку мы отдельно собрали в чек-листе первых 30 минут с аппаратным кошельком.

Один из способов снизить этот класс рисков — anti-exfil протоколы. В BitBox02 такой механизм называется anti-klepto: nonce формируется при участии и устройства, и приложения-компаньона, поэтому устройство не может единолично выбрать значение и незаметно закодировать в нем секрет. Jade также поддерживает anti-exfil в некоторых сценариях подписи, но это не универсальная гарантия для любого возможного процесса подписания.

Практический вывод простой: неофициальный файл прошивки не становится безопасным только потому, что на нем указана самая свежая версия. Если источник релиза нельзя проверить через официальный канал производителя, устанавливать его нельзя.

Правильный процесс обновления, шаг за шагом

Независимо от бренда, безопасный процесс выглядит примерно одинаково.

1. Проверьте резервную копию сид-фразы. Физически достаньте ее и убедитесь, что она существует, читается и полная. Не фотографируйте слова и не вводите их в компьютер. Если устройство поддерживает штатную проверку backup без восстановления — например, Check wallet backup в Trezor — воспользуйтесь ею.
2. Обновите приложение-компаньон из официального источника. Сначала установите актуальную версию Ledger Wallet, Trezor Suite или приложения вашего производителя, затем обновляйте firmware. Не переходите к загрузке через рекламу в поиске или случайный результат в магазине приложений.
3. Сверьте версию с официальным анонсом. Перед установкой проверьте changelog или страницу firmware производителя. Для air-gapped устройств используйте только официальный файл; если производитель публикует SHA-256 или другую контрольную сумму, сверьте ее.
4. Запустите обновление и не прерывайте процесс. Не выдергивайте кабель, не закрывайте приложение и не позволяйте ноутбуку уйти в спящий режим. Устройство может несколько раз перезагрузиться — это нормально.
5. Проверьте результат. После завершения сверьте номер версии на устройстве или в официальном приложении. Адреса, полученные из того же сида и derivation path, после обычного firmware update не должны внезапно становиться другими.
6. Если устройство перестало загружаться, не вводите сид куда попало. Сначала откройте официальную инструкцию производителя по bootloader/recovery mode. Если устройство действительно не удается восстановить, доступ к средствам можно вернуть на другом совместимом кошельке с помощью проверенной резервной копии.

Когда обновляться, когда подождать, а когда не трогать устройство

Краткая памятка для типичных ситуаций:

Отдельная модель — Tangem с неизменяемой прошивкой. Код записывается в чип во время производства и не обновляется после выпуска карты. Это убирает сам канал доставки новой прошивки после продажи, а вместе с ним — часть рисков, связанных с будущими firmware update. Обратная сторона очевидна: если в уже записанном коде обнаружат проблему, исправить ее обычным патчем на существующей карте нельзя. Это не автоматически «лучше» или «хуже», а другой способ распределить риски.

Итог

После событий 2025–2026 годов простого правила «обновляйтесь всегда» или «никогда не трогайте стабильную прошивку» уже недостаточно. Jade показал, почему security fix не стоит игнорировать; COLDCARD — что баг прошивки может привести к реальной потере средств и что сам патч не всегда исправляет уже созданный сид; фейковые приложения Ledger — что правильный номер версии не имеет значения, если софт получен не из того источника.

Поэтому для обновления прошивки аппаратного кошелька алгоритм короткий. Если релиз закрывает уязвимость, проверьте информацию через официальный канал и обновляйтесь без лишней задержки. Если производитель пишет, что старый сид или ключ мог быть скомпрометирован, выполните всю инструкцию по миграции, а не только firmware update. Если это крупный функциональный релиз без срочного security fix, пауза в одну-две недели даст время увидеть реальные баги и уточнения.

Для кошелька, который большую часть времени лежит офлайн, обновление лучше делать заранее перед плановым использованием, а не за пять минут до важного перевода. Перед каждым обновлением проверяйте резервную копию, а сам релиз открывайте только через официальное приложение или сайт производителя.

И последнее правило не изменилось вообще: никогда не вводите сид-фразу в компьютер или смартфон «для обновления прошивки». Настоящему firmware update она не нужна. Если программа просит 12 или 24 слова, проблема уже не в версии прошивки — перед вами фишинг или вредоносное приложение.

Мы сами придерживаемся той же схемы: security-релизы не откладываем без причины, после крупных функциональных релизов даем несколько дней на первые отзывы, а перед обновлением проверяем резервную копию даже тогда, когда «точно все нормально». В этой теме лучший сценарий — когда процедура остается скучной рутиной и не превращается в отдельную историю о восстановлении доступа.