OneKey воспроизвела подмену транзакции в Ethereum-приложении Ledger

Команда OneKey воспроизвела атаку на Ethereum-приложение аппаратного кошелька Ledger: на экране устройства отображалась одна транзакция, а непосредственно перед подписью её можно было незаметно заменить другой. Об этом сообщает Incrypted.

По данным исследователей, проблема затрагивала версию приложения 1.22.1 и была связана с рассинхронизацией между тем, что видит пользователь на экране, и данными, которые уходят на подпись. Атаку удалось полностью повторить в лабораторных условиях.

В Ledger уязвимость уже устранили — исправление вошло в версию 1.22.3. Владельцам устройств рекомендуют обновить Ethereum-приложение. Это тот случай, когда расхождение экрана и подписываемых данных превращает проверку на устройстве в формальность, поэтому обновление стоит установить, даже если кошелёк используется редко.