A OneKey laboratóriumi környezetben reprodukált egy, a Ledger alkalmazás egy régebbi verzióját célzó sérülékenységet. Ezt a biztonsági hibát a Ledger már javította is az Ethereum alkalmazás 1.22.2-es verziójában anélkül, hogy felhasználók kriptoeszközei veszélybe kerültek volna.
A OneKey nyílt forráskódú tárcaszolgáltató belső biztonsági csapata szerint sikeresen reprodukáltak egy, a Ledger eszközön található Ethereum alkalmazás elavult verzióját célzó sérülékenységet egy tesztkörnyezetben.
Yishi Wang, a OneKey alapítója és vezérigazgatója elmondta, hogy egy „tranzakcióhelyettesítő támadást” hajtottak végre a Ledger Ethereum alkalmazás 1.22.1-es verziójában egy korábban javított sebezhetőség kihasználásával. Ez lehetővé teszi a támadók számára, hogy felülírják az aláírásra váró tranzakciót, miközben a felhasználó még a legitim tranzakciót ellenőrzi.
A Ledger szerint a sebezhetőség kihasználásához szükség van az eszköz és a gazdagép közötti kommunikáció feletti ellenőrzésre, például rosszindulatú programok, feltört tárcaszoftverek vagy rosszindulatú weboldalak révén. A Ledger alkalmazásszintű védelmet adott hozzá az Ethereum alkalmazás augusztus 13-án kiadott 1.22.2-es verziójához, mielőtt augusztus 21-én a Secure SDK 26.6.1-es verziójában kijavította volna az alapjául szolgáló problémát.
„Egyetlen Ledger-felhasználót sem törtek fel. Amit itt leírtunk, az az Ethereum alkalmazás egy elavult verziójában található sebezhetőség laboratóriumi reprodukciója.” – írta Ledger egy csütörtöki X-bejegyzésben.
Júliusban a Coldcard bitcoin tárcát támadták meg egy sebezhetőségnek köszönhetően, amikor a támadók kihasználtak egy 2021 márciusában bevezetett firmware hibát, amely gyengítette a seed véletlenszerűségét egyes Coldcard tárcákban, így a kapott privát kulcsok sebezhetővé váltak a brute-force támadásokkal szemben.
A Ledger korábban azt nyilatkozta, hogy eszközeit nem érintette a Coldcard sebezhetősége, mivel a helyreállítási kifejezéseket a készülék biztonsági chipjébe épített, tanúsított véletlenszerűség-forrás segítségével generálják. A OneKey által reprodukált sebezhetőség nem kapcsolódik a seed generálásához, hanem inkább azt befolyásolja, hogyan kezelik a tranzakciókat az aláírási folyamat során.
A frissítés után tehán már a Ledger hardvertárca is teljesen biztonságos. Ha biztonságosan szeretnéd tárolni a kriptoeszközeidet, akkor a hardvertárcák kínálják erre a legjobb megoldást. Ledger és OneKey modelleket is vásárolhatsz a BitcoinBázis Shop oldalán.
Megjelent a BitcoinBázis oldalon.
