Vulnerabilidade da carteira Ledger; usuários devem atualizar o aplicativo Ethereum para a versão 1.22.2

Uma vulnerabilidade de segurança foi identificada no aplicativo Ethereum das carteiras de hardware Ledger, que em circunstâncias específicas poderia permitir que um dApp malicioso assinasse uma transação diferente daquela exibida na tela do dispositivo para o usuário. A Ledger lançou a versão 1.22.2 do aplicativo Ethereum para corrigir esse problema, e os usuários devem instalá-la o mais rápido possível.

De acordo com o site Mihan Blockchain, essa vulnerabilidade estava relacionada à forma como as solicitações de assinatura eram gerenciadas simultaneamente. No cenário de ataque, os detalhes da transação original ainda eram exibidos na tela do dispositivo, mas uma segunda solicitação poderia substituí-los na memória, resultando no envio de dados diferentes para assinatura ao dispositivo.

Como a vulnerabilidade funcionava?

Segundo um relatório da empresa de segurança TestMachine, para explorar esse bug, era necessário um dApp com acesso WebHID; um recurso que permite a comunicação direta de alguns aplicativos da web com dispositivos de hardware.

Nesse cenário, o atacante poderia enviar uma segunda solicitação de assinatura enquanto o usuário estava revisando uma transação. Essa solicitação substituía os dados da transação anterior na memória sem iniciar um novo processo de verificação. Como resultado, o usuário ainda via as informações da transação inicial na tela, mas ao selecionar a opção de confirmação, acabava assinando os dados substituídos.

A TestMachine também afirmou que reproduziu esse cenário no Ledger Flex.

O que a Ledger fez para corrigir o problema?

As alterações registradas no código oficial da Ledger mostram que a empresa adicionou dois controles de segurança para evitar o ataque. Primeiro, o aplicativo não permite mais que uma nova solicitação de assinatura interrompa o processo de verificação de uma transação em andamento. Segundo, ao receber o comando de confirmação, o estado atual do processo de assinatura é verificado e, se não corresponder ao estado esperado, a solicitação será rejeitada.

Essas correções foram implementadas na versão 1.22.2 do aplicativo Ethereum, cuja data de lançamento remonta a 12 de agosto. No entanto, a TestMachine alegou que essa versão ainda não está totalmente disponível para os usuários.

De acordo com a TestMachine, devido ao uso de código compartilhado, essa falha pode afetar os modelos Nano X, Nano S Plus, Stax e Apex. O arquivo oficial da versão 1.22.2 também mencionou esses modelos, além do Ledger Flex, como dispositivos-alvo do aplicativo Ethereum.

A Ledger ainda não especificou qual foi a primeira versão vulnerável desse aplicativo. Portanto, não está claro quantas versões anteriores tinham esse bug.

Divergência entre a Ledger e a TestMachine sobre a descoberta da vulnerabilidade

Charles Guillemet, CTO da Ledger, anunciou em 23 de agosto que a equipe de segurança interna Ledger Donjon havia identificado esse bug antes do contato da TestMachine com o programa de recompensas por bugs da empresa.

Guillemet disse que essa equipe havia encontrado e corrigido o problema em alguns processos de "assinatura transparente" cerca de duas semanas antes de seu comentário. Em contrapartida, a TestMachine afirmou que o sistema Azimuth identificou essa vulnerabilidade e compartilhou suas descobertas com a Ledger, confirmando sua veracidade.

Apesar dessa divergência sobre o tempo e a forma de descoberta da vulnerabilidade, ambas as partes confirmaram a existência do problema e sua correção no código do aplicativo.

Vale ressaltar que até o momento não houve relatos confirmados de exploração dessa vulnerabilidade no mundo real, roubo de ativos dos usuários ou extração de chaves privadas. No entanto, como a falha está diretamente relacionada ao processo de verificação e assinatura de transações, a atualização do aplicativo é de extrema importância.

Os usuários da Ledger devem verificar a versão do aplicativo Ethereum de seus dispositivos e, se estiverem usando uma versão anterior, atualizá-la para 1.22.2. A Ledger também recomendou que os usuários atualizem não apenas o aplicativo Ethereum, mas também o sistema operacional do dispositivo, outros aplicativos e softwares de cliente para a versão mais recente.

Além disso, essa vulnerabilidade é diferente de outra falha de segurança que foi relatada anteriormente no aplicativo nativo Zilliqa da Ledger e não está relacionada ao ataque de 2023 ao Connect Kit.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.