TL;DR:
- Kerentanan tersebut memengaruhi versi 1.22.1 dari aplikasi Ethereum untuk Ledger dan memungkinkan race condition yang menggantikan transaksi sebelum penandatanganan.
- Pabrikan memperbaiki kelemahan awal pada 13 Agustus 2026, di versi 1.22.2 dan memperkuat sistem dengan Secure SDK 26.6.1 pada 21 Agustus 2026.
- Perusahaan menerbitkan siaran keamanan resminya pada 27 Agustus 2026, mengonfirmasi tidak adanya eksploit aktif di lingkungan nyata.
Ledger membantah tuduhan peretasan setelah demonstrasi kelemahan teknis pada versi usang dari aplikasi Ethereum-nya dipublikasikan, dan memperjelas—pada Kamis, 27 Agustus—that patch keamanan telah diterapkan sebelum pengungkapan publik.
Tidak ada pengguna Ledger yang diretas.
Apa yang dijelaskan di sini adalah reproduksi laboratorium terhadap kerentanan pada versi lama aplikasi ethereum.
Masalah tersebut sudah diidentifikasi melalui proses keamanan kami dan diperbaiki di aplikasi Ethereum 1.22.2, yang dirilis pada 13 Agustus, sebelum posting ini. The…
— Ledger (@Ledger) 27 Agustus 2026
Kontroversi ini bermula ketika para peneliti keamanan dari perusahaan pesaing OneKey memposting di media sosial bahwa mereka berhasil merekayasa serangan dalam lingkungan laboratorium. Terkait hal ini, CEO OneKey Yishi Wang menyatakan bahwa kelemahan tersebut berasal dari race condition antara buffer data dan antarmuka visual perangkat fisik.
Kelemahan ini memungkinkan penyerang yang mengendalikan perangkat lunak perantara untuk menimpa transaksi saat pengguna sedang memeriksa operasi sah di layar. Data teknis yang dibagikan oleh para peneliti menunjukkan bahwa vektor ini dapat mengalihkan dana ke dompet eksternal tanpa menampilkan perubahan pada perangkat fisik.
Ledger’s Chief Technology Officer, Charles Guillemet, segera menolak narasi adanya pelanggaran keamanan pada infrastruktur pabrikan. Dokumen resmi perusahaan mencatat bahwa mereproduksi bug pada versi usang dalam lingkungan laboratorium tidak merupakan kerentanan aktif atau kompromi terhadap dana pengguna.
Jadwal Patch dan Detail Teknis Kerentanan
Masalah ini berasal dari aplikasi internal yang dirancang untuk mengelola transaksi di jaringan Ethereum dan token yang kompatibel. Pada versi 1.22.1, sebuah aplikasi web jahat dengan izin untuk terhubung ke perangkat dapat mengirim instruksi penandatanganan sekunder saat pengguna sedang memeriksa yang pertama.
Pabrikan mengidentifikasi masalah secara internal dan merilis pembaruan 1.22.2 pada 13 Agustus 2026. Laporan perusahaan menjelaskan bahwa perubahan tersebut memperkenalkan dua langkah pengamanan utama: menolak sesi penandatanganan baru selama tinjauan sedang berlangsung dan membatalkan konfirmasi jika keadaan memori berbeda dari yang ditampilkan di layar.
Untuk mengamankan ekosistem aplikasi, tim pengembang memperbarui perangkat pengembangan perangkat lunaknya (Secure SDK) ke versi 26.6.1 pada 21 Agustus 2026. Melalui prosedur ini, perusahaan membangun ulang seluruh katalog aplikasi untuk mencegah vektor serupa di aset digital lainnya.
Buletin yang dikeluarkan pada 27 Agustus 2026 menentukan bahwa serangan semacam ini memerlukan komputer host yang sebelumnya telah dikompromikan oleh malware atau terhubung ke platform web jahat. Selain itu, laporan teknis mengonfirmasi bahwa kunci pribadi yang disimpan di elemen aman perangkat keras tidak pernah terpapar.
Tim penelitian keamanan Ledger Donjon mencatat bahwa insiden ini menyoroti perlunya praktik pembaruan rutin pada cold wallet. Arsitektur perangkat keras modular memungkinkan patch diterapkan pada perangkat lunak periferal tanpa mengompromikan benih pemulihan asli.
Untuk memverifikasi perlindungan perangkat, pengguna harus memeriksa di Ledger Live bahwa aplikasi Ethereum telah diperbarui ke versi 1.22.3 atau lebih tinggi. Produsen akan terus memantau repositori perangkat lunaknya dan akan mempublikasikan log pembaruan baru di manajer aplikasinya selama tinjauan terjadwal mendatang.