Ledger закрыла уязвимость в Ethereum-приложении, позволявшую подменить транзакцию

Исследователи из команды OneKey Anzen показали, как можно обмануть аппаратный кошелек Ledger при подписании Ethereum-транзакции. Как сообщает ForkLog, атака воспроизводилась на Ethereum-приложении версии 1.22.1: уязвимость позволяла подменить данные прямо в тот момент, когда пользователь подтверждает операцию.

В Ledger ответили, что реальных пострадавших нет, а проблему закрыли еще 13 августа. Таким образом, к моменту публикации исследования уязвимость уже была устранена.

Для владельцев аппаратных кошельков эпизод — напоминание о границах защиты: устройство снижает риск компрометации ключей, но корректность того, что видно на экране при подписании, зависит в том числе от прошивки и приложений. Издание не располагает данными о том, затронуты ли другие версии Ethereum-приложения Ledger, и не дает инвестиционных рекомендаций.