Компания «Тангем» производит аппаратные кошельки в виде тонких карт, которые работают без батареи и кабеля: транзакции подписываются при касании к телефону по NFC. Компания швейцарская, продукт реальный и широко известный, но проверка безопасности устроена неоднозначно: у изделия есть сертификаты и аудиты по версии производителя, а также две публичные работы исследователей Ledger Donjon, которые показывают слабые места карты. Разбор ниже отделяет рекламные цифры от проверяемых данных.

Ниже разобраны линейка и цены, особенности защиты, исследования Ledger Donjon, ответы компании и правила покупки.

Линейка «Тангем» 

Основной продукт: Tangem Wallet, наборы карт. Набор из двух стоит 54,90 доллара, из трех 69,90, пакет Family Pack для двух человек 139,80, комплект Ring с двумя картами 160, расширенный Pro Kit 180. В описании страницы указано «от 55,90», что не совпадает с цифрой 54,90 в самом списке, а налоги и пошлины в цену не входят. Кроме карт, на сайте перечислены Tangem Ring, Tangem Pay и Tangem Mobile, о которых сказано мало.

Главная особенность в том, что резервной копией служат дополнительные карты, а не запись из двенадцати слов. Ключи, по умолчанию, создаются аппаратным генератором внутри карты и никогда не покидают чип. Фраза восстановления остается необязательным вариантом: ее можно создать в приложении и перенести на карту или загрузить фразу из другого кошелька. Сайт сам признает, что фраза может быть скопирована и украдена, поэтому рекомендует вариант без нее.

Защита и сертификаты Tangem 

Производитель называет чип сертифицированным по Common Criteria EAL6+ и сообщает, что он разработан совместно с Samsung. Карта защищена от рентгена, электромагнитного импульса и статического разряда в соответствии с ISO 7816-1, а водо- и пылестойкость указана как IP69K. Прошивку просмотрели Kudelski Security в 2018 году и Riscure в 2023-м, а Cure53 проверила мобильное приложение.

В материале об исследовании назван чип Samsung S3D232A, а на сайте S3D350A. Разница не доказывает ошибки, но показывает, что сведения нужно сверять по первоисточнику.

Позиция Tangem и что это значит для пользователя

По описанию исследователей, компания признала, что проблемы не относятся к уязвимостям или не создают существенного риска, а лазерную атаку назвала теоретической и не масштабируемой. Позиция понятна: атака требует физического доступа и лаборатории. Но карта не получает обновлений, поэтому выбор пароля остается делом самого владельца.

Практические выводы просты:

• задавать длинный случайный пароль карты, а не короткий PIN;

• хранить карты раздельно, чтобы физический доступ к одной не открывал кошелек;

• не держать на одной карте суммы, потеря которых болезненна, и использовать несколько кошельков;

• проверять подлинность устройства и покупать только на официальном сайте;

• никому не сообщать фразу восстановления, если она включена.

Эти правила сводят риск к уровню, о котором говорит производитель.

Краткий вывод о Tangem 

«Тангем» следует считать реальным проектом: компания зарегистрирована в Швейцарии, устройство продается с 2018 года и проходит независимые исследования. Для небольших и средних сумм кошелек удобен при длинном случайном пароле, а для крупных хранилищ физические атаки Ledger Donjon стоит учесть и разделять средства.

Тем, кто хранит значимые суммы, стоит прочесть оригинальные отчеты Ledger Donjon и Cure53, а не только пересказы.