Kurz zusammengefasst

  • OneKey reproduzierte einen Transaktionsersetzungsangriff gegen Version 1.22.1 der Ethereum-App von Ledger.
  • Ledger gibt an, die Schwachstelle in Version 1.22.2 behoben zu haben, bevor OneKey seinen Test veröffentlichte, und hat keine Hinweise auf Angriffe gegen Benutzer gesehen.
  • Ledger empfiehlt, die Ethereum-App-Version 1.22.3 oder höher zu installieren und die App-Version auf dem Gerät zu überprüfen.

Der Kryptowährungs-Wallet-Entwickler Ledger weist Behauptungen zurück, gehackt worden zu sein, nachdem Forscher des konkurrierenden Wallet-Herstellers OneKey eine Transaktionsersetzungsschwachstelle mit einer veralteten Version der Ethereum-App von Ledger reproduziert hatten.

Am Donnerstag sagte Yishi Wang, Gründer und CEO von OneKey, auf X, dass das Sicherheitsteam Anzen des Unternehmens den Angriff gegen die Ethereum-App-Version 1.22.1 in einem Labor nachgestellt habe.

Myriad: Ethereum nächste Preisbewegung? Klicken Sie, um Ihre Vorhersage zu treffen.
Myriad: Ethereum nächste Preisbewegung? Klicken Sie, um Ihre Vorhersage zu treffen.

„Der Fehler ist eine Race Condition zwischen der Transaktionsanzeigelogik und dem zugrunde liegenden Transaktionspuffer“, schrieb Wang. „Ein Angreifer kann die Transaktion, die auf die Signierung wartet, überschreiben, während der Benutzer noch eine legitime überprüft.“

Das würde bedeuten, dass ein Hacker, der die Software kompromittiert hat, die mit einer verwundbaren Ledger-App kommuniziert, dem Benutzer eine legitime Ethereum-Transaktion anzeigen könnte, dann deren Details vor der Signierung ändern und Gelder auf die Wallet des Hackers umleiten könnte, ohne dass die Änderung auf dem Gerät erscheint.

Ledger Chief Technology Officer Charles Guillemet lehnte die Charakterisierung von OneKey ab und sagte, dass die Reproduktion eines bereits gepatchten Fehlers nicht gleichbedeutend mit "Hacking von Ledger" sei.

"Was dieser Thread beschreibt, ist eine Schwachstelle in einer veralteten Version der Ethereum-App", antwortete er auf X. "Sie wurde durch unseren Sicherheitsprozess identifiziert und in der Ethereum-App 1.22.2, die am 13. August veröffentlicht wurde, vor diesem Beitrag behoben."

In einem Sicherheitsbulletin, das am Donnerstag veröffentlicht wurde, sagte Ledger, dass der Fehler dazu führen könnte, dass eine betroffene App eine Transaktion anzeigt, während sie eine andere signiert. Ein Angreifer müsste zuerst die Kommunikation zwischen dem Gerät und seinem Host durch Malware, eine kompromittierte Wallet-App oder eine feindliche Website kontrollieren.

Ledger sagte, es habe keine Beweise dafür gefunden, dass jemand die Schwachstelle außerhalb eines Labors ausgenutzt habe.

"Kein Benutzer wurde gehackt. Keine Ausnutzung in freier Wildbahn", schrieb Guillemet. "Einen Exploit gegen eine alte Version auszuführen, nachdem der Fix ausgeliefert wurde, ist eine Laborübung, kein Befund."

Ledger fügte am 13. August Sicherheitsvorkehrungen in der Ethereum-App-Version 1.22.2 hinzu, behob dann das zugrunde liegende Problem im Secure SDK Version 26.6.1 am 21. August und baute seine Apps mit der korrigierten Software neu. Das Unternehmen empfiehlt Version 1.22.3 oder später, die auch eine separate Schwachstelle bei der Transaktionsanzeige behebt. Ledger veröffentlichte sein Bulletin am 27. August.

Als Ledger nach OneKeys Behauptungen gefragt wurde, verwies es Decrypt an Ledger Donjon, das interne Sicherheitsforschungsteam des Unternehmens, das in einem separaten X-Beitrag sagte, dass die Episode zeigte, warum Hardware-Wallets Software-Updates unterstützen müssen.

"Alle Software hat Fehler. Hardware-Wallets sind keine Ausnahme", schrieb das Team. "Deshalb ist Aktualisierbarkeit ein Kernbestandteil der Sicherheitsarchitektur von Ledger: Wenn eine Schwachstelle gefunden wird, sei es durch unser eigenes Donjon-Team oder durch externe Forscher, können wir jedes Gerät im Feld patchen. Eine Wallet, die nicht aktualisiert werden kann, kann nicht repariert werden."

Myriad: Solana nächste Kursbewegung? Klicken Sie, um Ihre Vorhersage zu treffen.
Myriad: Solanas nächste Kursbewegung? Klicken Sie, um Ihre Vorhersage zu treffen.

Ledger riet Kunden, die neueste Firmware und Apps über Ledger Wallet zu installieren, die Ethereum-App auf Version 1.22.3 oder höher zu aktualisieren und die auf dem Gerät angezeigte Version zu überprüfen. Apps und Firmware werden separat aktualisiert.

Anfang dieses Monats, nachdem Angreifer mehr als 130 Millionen Dollar in Bitcoin von Nutzern der Coldcard-Air-Gapped-Wallets gestohlen hatten, sagte Guillemet gegenüber Decrypt, dass der Vorfall eine Warnung für die Hardware-Wallet-Branche sei.

„Wir verlassen uns auch nicht nur auf unser eigenes Wort“, sagte er. „Unser Forschungslabor Donjon existiert, um zu versuchen, unsere Produkte zu knacken, bevor es jemand anderes tut.“