OneKey تُعيد إنتاج هجوم استبدال المعاملات على تطبيق Ethereum القديم من Ledger

رسالة من ChainCatcher: نجح فريق الأمان من مزود المحفظة المفتوحة المصدر OneKey في إعادة إنتاج ثغرة في تطبيق إيثريوم الإصدار القديم من Ledger في بيئة مختبرية. وقال وانغ ييشي، المؤسس والرئيس التنفيذي لـ OneKey، إنهم استغلوا ثغرة تم إصلاحها مسبقًا لتنفيذ "هجوم استبدال المعاملات" على تطبيق إيثريوم من Ledger الإصدار 1.22.1، حيث يمكن للمهاجمين استبدال المعاملة التي تنتظر التوقيع أثناء مراجعة المستخدم للمعاملة القانونية. وأجاب Ledger بأن استغلال هذه الثغرة يتطلب التحكم في الاتصال بين الجهاز والخادم، مثل استخدام برامج ضارة أو برامج محفظة مخترقة أو صفحات ويب خبيثة. وقد أضاف Ledger حماية على مستوى التطبيق في إصدار تطبيق إيثريوم 1.22.2 الصادر في 13 أغسطس، وأصلح المشكلة الأساسية في Secure SDK 26.6.1 الصادر في 21 أغسطس. وأكد Ledger أنه لم يُستهدف أي مستخدم بالاختراق، وأن هذه كانت مجرد إعادة إنتاج للثغرة في بيئة مختبرية. وحدثت هذه الاختبارات الأمنية بعد حادثة ثغرة Coldcard. سابقًا، كانت محفظة Coldcard تعاني من ثغرة في البرنامج الثابت أدت إلى وجود مخاطر أمنية في توليد بعض العبارات الاستردادية، لكن Ledger أشار إلى أن أجهزته لم تتأثر بهذه الثغرة لأن عبارة الاسترداد تُولد بواسطة مصدر عشوائي مُعتمد مدمج في شريحة الأمان الخاصة بالجهاز. والثغرة التي أعاد OneKey إنتاجها لا تتعلق بتوليد العبارات الاستردادية، بل تؤثر على طريقة معالجة المعاملات أثناء عملية التوقيع.