Ledger 錢包漏洞；用戶需將以太坊應用程式更新至 1.22.2 版本

一個安全漏洞在 Ledger 硬體錢包的以太坊應用程式中被發現，在特定情況下，可能允許一個惡意的 dApp 簽署與顯示在設備螢幕上不同的交易。Ledger 已經發布了 1.22.2 版本的以太坊應用程式，用戶應儘快安裝。

根據 Miha Blockchain 的報導，這個漏洞與同時管理簽名請求的方式有關。在攻擊場景中，主要交易的細節仍然顯示在設備螢幕上，但第二個請求可能會在記憶體中替換它，最終將不同的數據發送到設備進行簽署。

漏洞是如何運作的？

根據安全公司 TestMachine 的報告，利用這個漏洞需要一個具有 WebHID 訪問權限的 dApp；這是一項允許某些網頁應用程式與硬體設備直接通信的功能。

在這個場景中，攻擊者可以在用戶檢查交易時發送第二個簽名請求。這個請求在不啟動新的檢查過程的情況下，會在記憶體中替換之前的交易數據。因此，用戶仍然會在螢幕上看到初始交易的信息，但在選擇確認選項時，卻簽署了被替換的數據。

TestMachine 還表示，他們已在 Ledger Flex 上重現了這個場景。

Ledger 為解決問題做了什麼改變？

Ledger 官方代碼中記錄的變更顯示，該公司為了防止攻擊，增加了兩個安全控制。首先，應用程式不再允許在交易檢查過程中，新的簽名請求干擾該過程。其次，在接收到確認命令時，會檢查當前簽名過程的狀態，如果與預期狀態不符，請求將被拒絕。

這些修正已在 1.22.2 版本的以太坊應用程式中實施，該版本的發布歷史可追溯至 8 月 12 日。然而，TestMachine 聲稱該版本尚未完全提供給用戶。

根據 TestMachine 的說法，由於使用了共享代碼，這個缺陷也可能影響 Nano X、Nano S Plus、Stax 和 Apex 型號。1.22.2 版本的官方文件也將這些型號與 Ledger Flex 一起列為以太坊應用程式的目標設備。

Ledger 目前尚未確定該應用程式的第一個易受攻擊版本是哪一個。因此，尚不清楚有多少早期版本存在這個漏洞。

Ledger 與 TestMachine 對漏洞發現的敘述差異

Ledger 的首席技術官 Charles Guillemet 在 8 月 23 日表示，Ledger Donjon 的內部安全團隊在 TestMachine 聯繫該公司進行漏洞獎勵計畫之前就已經識別了這個漏洞。

Guillemet 表示，該團隊在他發表評論的約兩週前，已經發現並解決了某些「透明簽名」過程中的問題。相對而言，TestMachine 表示 Azimuth 系統識別了這個漏洞，並與 Ledger 分享了他們的發現，並確認了其正確性。

儘管在漏洞發現的時間和方式上存在敘述差異，但雙方均確認了應用程式代碼中存在問題並已進行修正。

值得一提的是，迄今為止，尚未報告有任何確認的實際利用此漏洞的案例、用戶資產被盜或私鑰被提取的情況。然而，由於該缺陷直接與交易的確認和簽署過程有關，因此更新應用程式具有特別重要的意義。

Ledger 用戶應檢查其設備的以太坊應用程式版本，並在使用舊版本的情況下，將其升級至 1.22.2。Ledger 也建議用戶除了以太坊應用程式外，還應將設備的作業系統、其他應用程式和相關客戶端軟體始終更新至最新版本。

此外，這個漏洞與之前在 Ledger 的 Zilliqa 原生應用程式中報告的安全漏洞不同，並且與 2023 年對 Connect Kit 的攻擊無關。

本內容僅供參考，不構成任何金融、投資、法律或稅務建議。文中提及的任何活動、獎勵、線上活動或相關資訊，不應被視為對購買、出售或交易任何加密資產的推薦、招攬或邀請。加密資產具有高波動性，存在價值損失風險。WEEX服務、產品及相關活動的可用性可能因地區而異。用戶在參與前有責任確保符合當地適用法律法規。