【1位】
【2位】
【3位】
ハードウェアウォレット元帳のナノ・エス（Nano S）に関して、若干10代にしてセキュリティ専門家であるサレム・ラシド（Saleem Rashid）氏が「改竄されない」ウォレットの問題箇所を発見した。
このエピソードは2017年11月に始まったものだ。ラシド氏がが台帳担当最高技術責任者（CTO）、ニコラス・バッカ（Nicolas Bacca）氏に欠陥を報告した際、攻撃者に対してウォレットユーザーから資金を盗むスキを与えている可能性があると報告された。
ラシド氏はウォレットに組み込まれているマイクロコントローラが安全ではないことを確認した。ボタンとディスプレイを使ったデータ入力が可能だが、これはセキュア・エレメント（SE）のプロキシに接続されている。
後者には秘密鍵が含まれていたため、ハッカーが様々な方法を用いてSEを欺くことができたその方法とはこのようなものだ。攻撃元である末端業者と再販業者は、マイクロコントローラのファームウェアを変更・侵害し、SEに対して正当なユーザーとして身分保証をさせた。
さらに、ユーザーインターフェイスを制御し、悪意のあるコードを使用してランダム性をゼロに設定し、回復型シードを意のままに追加できるようにしたと説明した。ラシド氏は、アップロードされたビデオで彼の意図を表現するのに「放棄」という言葉を選んだ。攻撃者は記憶を補助するニーモニックフレーズを持っていたので、簡単に秘密鍵を取得することができたのだ。
台帳が研究チームに送られた後も、その欠陥がチームによって把握されていないことをラシド氏は悟った。チームが3月6日にファームウェアのアップデートを公開したものの、ラシド氏はこれを激しく批判した。
彼は、チームが緊急アップデートとして公開するか、または偽装を施すことで、悪意のあるハッカーがこうした偽装に気づく時間を与えないようにすべきだと信じていたので、Twitterを使って注意喚起の投稿を行った。
セキュリティ研究者の一人として、直ちに更新することを推奨する。なお、この投稿ではこの問題の危険度がどの程度なのかを明確にすることはできない。
今後発生する可能性のある問題として、侵害されたリカバリシードの生成またはプライベートキーの流出が想定される。
パニックに陥ったユーザーは、レディット（Reddit）の掲示板で今後の動きについて議論しあった。 レッジャー（Ledger）の最高経営責任者（CEO）であるエリック・ラルシェベック（Eric Larchevêque）氏は、「大規模なFUD」だというReddit上のそうした投稿への回答として、ラシド氏は重要度の高い問題かどうかはっきりしない時点で注意喚起を行なっていると述べた。
「ラシドは、この問題が『緊急セキュリティアップデート』として我々の中で共通認識がないまま、頭に血が上ってしまった」とラルシェベック氏は記している。
3月20日、レッジャー社は、バウンティプログラムの研究者、つまりティモシー・アイナード（Timothée Isnard）氏、サレム・ラシド氏、セルゲイ・フォロキタン（Sergei Volokitin）氏らが発見した3つの問題について解説した新たなアップデートを公開した。
興味深いことにラシド氏は、レッジャー社のバウンティ・プログラム契約に署名すれば、彼がまったく同じ日に行った技術報告書を公表できなくなるため、この声明を否定した。新しいアップデートに関してラシド氏は、同社が「発売前バージョン」を受け取ることは許されていないと説明したが、新しい修正プログラムはハッカーの攻撃から完全に逃れたわけではないと信じていた。
「このモデルでセキュリティの安全性を確保するために、タイミングよく「圧縮困難な」ファームウェアを投入することができるのか？」とラシド氏は書いている。彼は暗号通貨技術者のマシュー・グリーン（Matthew Green）氏のサポートを受けた。
グリーン氏は、10代の若者がレッジャー社の強固なセキュリティ体制を突破した方法について、ツイッターの長いスレッドの中で説明を行なっている。
英国在住のラシド少年は、以前は暗号化ハードウェアウォレットのトレザー・ワン（TREZOR One）の問題を明らかにした。この問題は、両当事者間が緊密なコミュニケーションを行なったため解決に至った。
サトシ研究所（Satoshi Labs）のCEO、マレク・パラティナス（Marek Palatinus）氏は、ラシッド氏の仕事ぶりをたたえ、「彼の斬新な思考と創造的なアプローチによって、より安全性の高い製品が生み出されることだろう」と述べた。
