Нещодавно засновник виробника апаратних криптогаманців OneKey, Іші Ван (Yishi Wang), заявив, що його команда успішно обійшла захист гаманця Ledger у лабораторних умовах, підмінивши транзакцію під час підтвердження власником. Ця заява викликала хвилю обговорень у криптоспільноті, але чи дійсно ситуація настільки критична, як здається на перший погляд?
Суть вразливості: "race condition"
За словами Вана, проблема полягала у так званій "race condition" — різниці в часі між відображенням транзакції на екрані пристрою та її підготовкою до підпису ключем гаманця. У цей короткий проміжок атакуючий міг підмінити легітимну транзакцію на шкідливу. Дослідження проводилися на додатку Ethereum версії 1.22.1.
Ця вразливість могла призвести до того, що користувач бачив одну транзакцію на екрані свого Ledger-пристрою, але фактично підписував зовсім іншу, потенційно перенаправляючи кошти на адресу зловмисника. Проте, важливо зазначити, що для експлуатації цієї вразливості атакувальник мав би вже контролювати комунікацію між пристроєм Ledger та хостом (наприклад, через шкідливе програмне забезпечення, скомпрометований додаток гаманця або шкідливий вебсайт). Це не атака, яка могла б віддалено спустошити неторкнутий Ledger.
Реакція Ledger: "Вже виправлено"
Представники Ledger, зокрема технічний директор Чарльз Гійєме (Charles Guillemet), швидко відреагували на заяву OneKey, заперечивши факт "зламу". За їхніми словами, вразливість була виявлена та виправлена внутрішньою командою безпеки Ledger Donjon ще до публічної демонстрації OneKey.
Виправлення було інтегровано в додаток Ethereum версії 1.22.2, випущений 13 серпня 2026 року. Пізніше, 21 серпня 2026 року, Ledger випустив оновлення Secure SDK версії 26.6.1, яке запобігає перехопленню команд, поки користувачі переглядають транзакції. Наразі Ledger рекомендує користувачам оновити додаток Ethereum до версії 1.22.3 або новішої, оскільки вона включає ширші засоби захисту та виправляє додаткову вразливість відображення транзакцій.
Що це означає для користувачів?
Ledger стверджує, що немає жодних доказів експлуатації цієї вразливості проти реальних користувачів або втрати криптовалюти. Проте, цей інцидент вкотре підкреслює важливість регулярних оновлень програмного забезпечення та прошивки для апаратних гаманців.
Рекомендації:
- Оновіть додаток Ethereum: Переконайтеся, що ваш додаток Ethereum на пристрої Ledger оновлено до версії 1.22.3 або новішої через Ledger Live.
- Перевіряйте деталі транзакцій: Завжди ретельно перевіряйте всі деталі транзакції безпосередньо на екрані вашого апаратного гаманця перед підтвердженням.
- Будьте обережні з джерелами: Уникайте взаємодії з підозрілими вебсайтами або завантаження неперевіреного програмного забезпечення, яке може скомпрометувати зв'язок між вашим пристроєм і хостом.
Цей випадок слугує нагадуванням, що навіть найбезпечніші рішення потребують постійного моніторингу та оновлень.
🖋 UAFF — будь в курсі арбітражних інсайтів