خلل في Ledger قد يؤدي إلى توقيع معاملة إيثريوم مختلفة عن المعروضة

• أضافت النسخة 1.22.2 من تطبيق إيثريوم على Ledger حلاً للمشكلة.
• "إذا كنت تحافظ على تحديث تطبيقاتك، فأنت محمي"، يقول تشارلز غيليمت من Ledger.

كانت هناك ثغرة في تطبيق إيثريوم لمحفظة Ledger تتيح للجهاز عرض معاملة للمستخدم بينما ينتهي بتوقيع معاملة مختلفة.

تم الإبلاغ عن المشكلة في 21 أغسطس 2026 من قبل فريق TestMachine، الذي أشار إلى أنه تم العثور عليها خلال مسح مستقل للتطبيق وتم التحقق منها على جهاز Ledger Flex.

وفقًا لـ TestMachine، فإن كل Ledger يعمل بتطبيق إيثريوم عرضة لاستبدال التوقيعات. يمكن أن يحدث الهجوم عندما يكون لتطبيق لامركزي خبيث وصول إلى WebHID (هذه هي التقنية التي تسمح لتطبيق لامركزي من المتصفح بالتواصل مباشرة مع جهاز Ledger وإرسال أوامر أثناء التوقيع).

خلال مراجعة معاملة، يمكن للمهاجم إرسال أوامر لاستبدال العملية التي سيتم توقيعها في النهاية، دون تعديل ما يراه المستخدم على شاشة الجهاز.

كمثال، يصف TestMachine سيناريو حيث يبدأ المستخدم من تطبيق لامركزي إرسال 0.01 ETH إلى عنوان آخر. يعرض Ledger تلك العملية خلال المراجعة ويمكن للمستخدم الموافقة عليها. ومع ذلك، قد ينتهي Ledger بتوقيع تفويض يسمح للمهاجم بإنفاق كمية قصوى من DAI (الذي كان الرمز المستخدم في المثال).

السبب، وفقًا للتفسير المنشور من قبل TestMachine، مرتبط بإدارة الأوامر بينما تظل واجهة المراجعة مفتوحة.

يشير TestMachine إلى أن المشكلة موجودة في أجهزة Nano X وNano S Plus وStax وApex. تم مشاركة التحقيق والتحقق منه مع فريق Ledger، وفقًا للنشر.

تظهر سجلات التغييرات على GitHub أن Ledger أدرجت في النسخة 1.22.2، المؤرخة في 12 أغسطس 2026، تصحيحات تم تحديدها بشكل عام على أنها مشاكل أمنية.

من بين التغييرات، تظهر إجراءات مرتبطة مباشرة بالخلل الموصوف، مثل رفض أوامر التوقيع المستلمة أثناء انتظار المراجعة، وتثبيت وضع التوقيع المحدد في بداية العملية، ورفض التغييرات خلال أجزاء متابعة التوقيع.

كما تمت إضافة تحقق من حالة التطبيق في وظائف الموافقة على التوقيعات وحمايات ضد التدفقات المتزامنة في عمليات مختلفة.

أشار TestMachine إلى أن التصحيح يتعلق فعليًا بتطبيق إيثريوم 1.22.2 وأوصى بالتحديث عبر Ledger Live بمجرد توفر التصحيح.

ومع ذلك، وفقًا للمعلومات المقدمة من تلك الشركة الأمنية، لا تزال النسخة المصححة غير متاحة للتنزيل من Ledger Live مما يعني أن الخطر لا يزال قائمًا.

أدى أصل الاكتشاف والحالة الحالية للتصحيح إلى تضارب في الروايات بين الشركة البحثية والمصنع. أصر TestMachine على أنه اكتشف الثغرة من خلال ماسح Azimuth المستقل الخاص به وأوصى بالتحديث إلى النسخة 1.22.2 من تطبيق إيثريوم.

من جانبه، صرح المدير الفني (CTO) لشركة Ledger، تشارلز غيليمت، أن الخطأ أثر على بعض تدفقات التوقيع الواضح (clear signing )، لكنه أكد أنه تم التعرف عليه وتصحيحه قبل أسبوعين من قبل Ledger Donjon، فريق الأمان الداخلي للشركة، باستخدام أدوات الذكاء الاصطناعي. أشار غيليمت إلى أن التصحيح قد تم نشره بالفعل وهو متاح للمستخدمين.

إذا كنت تحافظ على تحديث تطبيقاتك، فأنت محمي. هذه هي القصة بأكملها، قال غيليمت على حسابه الرسمي على X.

كما تساءل التنفيذي عن سلوك الشركة البحثية فيما يتعلق بممارسات الكشف: تواصلت هذه الشركة مع برنامج المكافآت لدينا بعد أن تم إرسال التصحيح بالفعل ولم تتبع الكشف المسؤول؛ في الواقع، لم يتحدثوا أبدًا مع فريق برنامج المكافآت. ثم نشروا سلسلة من التغريدات توحي بأن المشكلة لم تُحل.

في ظل الروايات المتناقضة، قد يكون من المفيد لمستخدمي Ledger التحقق من أن النسخة 1.22.2 قد تم تثبيتها بشكل صحيح، قبل متابعة إجراء العمليات باستخدام هذه الأجهزة.

تكتسب هذه القضايا أهمية خاصة بعد اختراق محافظ الأجهزة Coldcard الذي حدث في نهاية يوليو والذي أسفر عن سرقة أكثر من 2000 بيتكوين (BTC)، كما أفادت CriptoNoticias.

يُقدَّم هذا المحتوى لأغراض معلوماتية عامة فقط، ولا يُشكل مشورة مالية أو استثمارية أو قانونية أو ضريبية. ولا ينبغي اعتبار أي فعاليات أو مكافآت أو عروض ترويجية عبر الإنترنت أو أي معلومات ذات صلة واردة فيه توصيةً أو طلبًا أو دعوةً لشراء الأصول المشفرة أو بيعها أو تداولها أو إجراء أي معاملات أخرى عليها. تتميز الأصول المشفرة بتقلبات سعرية مرتفعة وقد تؤدي إلى خسائر. وقد يختلف مدى توفر خدمات WEEX ومنتجاتها والفعاليات المرتبطة بها حسب المنطقة. وتقع على عاتقك مسؤولية التأكد من أن مشاركتك تتوافق مع القوانين واللوائح المحلية المعمول بها.