Основатель OneKey заявил, что его команда "взломала" LedgerYishi сообщил, что его команда воспроизвела в лаборатории атаку с подменой транзакции на приложении Ledger Ethereum App: из-за состояния гонки в коде атакующий может подменить транзакцию, пока пользователь ещё смотрит на экран - тот одобряет транзакцию A, а устройство подписывает транзакцию B, которую он так и не увидел.
Описанный баг совпадает с уязвимостью, которую 22 августа уже публично раскрыл независимый ресерчер TestMachine - Ledger закрыла её в версии 1.22.2, а не 1.22.3, как заявил Yishi.
Сама Ledger подтвердила проблему в LSB 023: некоторые приложения на Ledger Secure SDK могли принимать новые команды во время подтверждения на экране, из-за чего отображаемые параметры отличались от фактически подписываемых.
Пользователям нужно обновить приложения через Ledger Live, если не делали этого после 21-го августа. Случаев эксплуатации уязвимости в реальности Ledger не зафиксировала.
Кэпитал News
