Kerentanan Dompet Ledger; Pengguna Harus Memperbarui Aplikasi Ethereum ke Versi 1.22.2

Sebuah kerentanan keamanan telah teridentifikasi dalam aplikasi Ethereum untuk dompet perangkat keras Ledger, yang dalam kondisi tertentu dapat memungkinkan dApp berbahaya untuk menandatangani transaksi yang berbeda dari yang ditampilkan di layar perangkat kepada pengguna. Ledger telah merilis versi 1.22.2 dari aplikasi Ethereum dan pengguna harus segera menginstalnya.

Menurut laporan Mihan Blockchain, kerentanan ini terkait dengan cara pengelolaan permintaan tanda tangan secara bersamaan. Dalam skenario serangan, detail transaksi utama tetap ditampilkan di layar perangkat, tetapi permintaan kedua dapat menggantikan data tersebut di memori, dan pada akhirnya data yang berbeda dapat dikirim untuk ditandatangani oleh perangkat.

Bagaimana Kerentanan Ini Bekerja?

Berdasarkan laporan dari perusahaan keamanan TestMachine, untuk memanfaatkan bug ini, diperlukan dApp dengan akses WebHID; fitur yang memungkinkan beberapa aplikasi web berkomunikasi langsung dengan perangkat keras.

Dalam skenario ini, penyerang dapat mengirim permintaan tanda tangan kedua saat pengguna sedang memeriksa transaksi. Permintaan ini akan menggantikan data transaksi sebelumnya di memori tanpa memulai proses pemeriksaan baru. Akibatnya, pengguna masih melihat informasi transaksi awal di layar, tetapi dengan memilih opsi konfirmasi, mereka akan menandatangani data yang telah digantikan.

TestMachine juga mengumumkan bahwa mereka telah mereproduksi skenario ini pada Ledger Flex.

Apa Perubahan yang Dilakukan Ledger untuk Mengatasi Masalah Ini?

Perubahan yang tercatat dalam kode resmi Ledger menunjukkan bahwa perusahaan ini telah menambahkan dua kontrol keamanan untuk mencegah serangan. Pertama, aplikasi tidak lagi mengizinkan permintaan tanda tangan baru mengganggu saat proses pemeriksaan transaksi sedang aktif. Kedua, saat menerima perintah konfirmasi, status saat ini dari proses tanda tangan akan diperiksa, dan jika tidak sesuai dengan status yang diharapkan, permintaan akan ditolak.

Perbaikan ini telah diterapkan dalam versi 1.22.2 dari aplikasi Ethereum, yang riwayat rilisnya kembali ke 12 Agustus. Namun, TestMachine mengklaim bahwa versi ini belum sepenuhnya tersedia untuk pengguna.

Menurut TestMachine, karena penggunaan kode bersama, kerentanan ini dapat mempengaruhi model Nano X, Nano S Plus, Stax, dan Apex. File resmi untuk versi 1.22.2 juga menyebutkan model-model ini bersama dengan Ledger Flex sebagai perangkat target aplikasi Ethereum.

Ledger belum mengonfirmasi versi pertama aplikasi yang rentan ini. Oleh karena itu, tidak jelas berapa banyak versi sebelumnya yang memiliki bug ini.

Perbedaan Narasi antara Ledger dan TestMachine Mengenai Penemuan Kerentanan

Charles Guillemet, Chief Technology Officer Ledger, mengumumkan pada 23 Agustus bahwa tim keamanan internal Ledger Donjon telah mengidentifikasi bug ini sebelum perusahaan TestMachine menghubungi program bug bounty perusahaan.

Guillemet menyatakan bahwa tim ini telah menemukan dan memperbaiki masalah dalam beberapa proses "tanda tangan transparan" sekitar dua minggu sebelum pernyataannya. Sebaliknya, TestMachine mengklaim bahwa sistem Azimuth telah mengidentifikasi kerentanan ini dan membagikan temuan mereka dengan Ledger serta mengonfirmasi keakuratannya.

Meskipun ada perbedaan narasi mengenai waktu dan cara penemuan kerentanan, kedua belah pihak telah mengonfirmasi adanya masalah dan perbaikan dalam kode aplikasi.

Perlu dicatat bahwa hingga saat ini, tidak ada kasus penyalahgunaan kerentanan ini yang terkonfirmasi di dunia nyata, pencurian aset pengguna, atau pengambilan kunci pribadi yang dilaporkan. Namun, karena kerentanan ini terkait langsung dengan proses konfirmasi dan tanda tangan transaksi, pembaruan aplikasi sangat penting.

Pengguna Ledger harus memeriksa versi aplikasi Ethereum di perangkat mereka dan jika menggunakan versi yang lebih lama, mereka harus memperbarui ke 1.22.2. Ledger juga merekomendasikan kepada pengguna untuk selalu memperbarui aplikasi Ethereum, sistem operasi perangkat, aplikasi lain, dan perangkat lunak klien terkait ke versi terbaru.

Selain itu, kerentanan ini berbeda dari kerentanan keamanan lain yang sebelumnya dilaporkan dalam aplikasi asli Zilliqa Ledger dan tidak terkait dengan serangan tahun 2023 terhadap Connect Kit.

Konten ini disediakan hanya untuk tujuan informasi umum dan bukan merupakan nasihat keuangan, investasi, hukum, atau pajak. Setiap acara, reward, promosi online, atau informasi terkait yang disebutkan di sini tidak boleh dianggap sebagai rekomendasi, ajakan, atau undangan untuk membeli, menjual, memperdagangkan, atau melakukan transaksi aset kripto apa pun. Aset kripto sangat fluktuatif dan dapat mengakibatkan kerugian. Ketersediaan layanan, produk, dan acara terkait WEEX dapat berbeda-beda di setiap wilayah. Anda bertanggung jawab untuk memastikan bahwa partisipasi Anda sesuai dengan hukum dan peraturan setempat yang berlaku.