Não, a Ledger não foi hackeada — uma falha no aplicativo Ethereum já corrigida foi reproduzida em laboratório, afirma a empresa. A Ledger contestou afirmações de que foi hackeada após a fabricante concorrente de carteiras OneKey demonstrar uma vulnerabilidade de substituição de transação em um aplicativo Ethereum desatualizado em um ambiente controlado. O que aconteceu: - Yishi Wang, fundador da OneKey, postou no X que sua equipe de segurança Anzen conseguiu reproduzir um bug de condição de corrida no aplicativo Ethereum da Ledger versão 1.22.1. Ele afirmou que a falha permitia a um atacante substituir uma transação que o usuário estava revisando: “Um atacante pode substituir a transação aguardando assinatura enquanto o usuário ainda está revisando uma legítima.” - Na prática, isso permitiria a um atacante que controle o canal de comunicação entre o dispositivo Ledger e seu host (por meio de malware, um aplicativo de carteira comprometido ou um site malicioso) exibir uma transação Ethereum legítima no dispositivo enquanto substitui seu conteúdo real por outra transação que redireciona os fundos para o atacante. Resposta e cronologia da Ledger: - O CTO da Ledger, Charles Guillemet, rejeitou a ideia de que reproduzir uma falha já corrigida equivale a “hackear a Ledger”. Ele observou que a falha afetava uma versão desatualizada do aplicativo e afirmou que ela havia sido corrigida antes do post da OneKey. - A Ledger afirma que adicionou proteções no aplicativo Ethereum 1.22.2 (lançado em 13 de agosto) e corrigiu o problema subjacente no Secure SDK 26.6.1 (lançado em 21 de agosto). A empresa reconstruiu seus aplicativos com o SDK corrigido e recomenda que os usuários usem a versão 1.22.3 ou posterior do aplicativo Ethereum (que também resolve um problema separado de exibição de transação). - A Ledger publicou um boletim de segurança em 27 de agosto, afirmando que a falha poderia fazer com que o dispositivo exibisse uma transação enquanto assinava outra, mas que a exploração exigiria que o atacante controlasse a comunicação entre o dispositivo e o host. A empresa não encontrou evidências de exploração no mundo real: “Nenhum usuário foi hackeado. Nenhuma exploração no mundo real”, escreveu Guillemet. Por que isso importa para carteiras de hardware: - A equipe de segurança interna Donjon da Ledger enfatizou que a atualizabilidade é essencial: todo software pode ter falhas, e a capacidade de corrigir dispositivos no campo é uma característica de segurança fundamental para carteiras de hardware. A equipe escreveu no X que um dispositivo que não pode ser atualizado não pode ser consertado. - O episódio reforça que até carteiras de hardware não são imunes a falhas de software — mas também destaca o benefício de um ciclo rápido de correção e distribuição quando problemas são identificados. Conselhos práticos para usuários: - A Ledger incentiva os clientes a: - Instalar o firmware e os aplicativos mais recentes por meio do Ledger Live (aplicativos e firmware são atualizados separadamente). - Atualizar o aplicativo Ethereum para a versão 1.22.3 ou posterior e verificar a versão do aplicativo no dispositivo. - Lembre-se: um atacante ainda precisa comprometer o ambiente host (PC, celular, navegador) ou o software da carteira para explorar esse tipo de falha — manter os sistemas host seguros e instalar atualizações rapidamente reduz o risco. Contexto: - Isso ocorre após um ataque de grande repercussão no início de agosto, no qual mais de US$ 130 milhões em Bitcoin foram roubados de usuários de carteiras air-gapped Coldcard. O laboratório Donjon da Ledger existe para investigar e fortalecer os produtos da Ledger antes que atacantes possam fazê-lo. Conclusão: pesquisadores reproduziram uma falha de substituição de transação em uma versão antiga do aplicativo Ethereum em um ambiente de laboratório; a Ledger afirma que corrigiu o problema semanas antes e não encontrou evidências de exploração no mundo real. Os usuários devem atualizar o firmware e os aplicativos e manter seus ambientes host seguros.
Ledger nega alegações de hack, afirma que OneKey reproduziu em laboratório o bug do aplicativo Ethereum corrigido
ChainGPTCompartilhar
Resumo
Notícias do ecossistema Ethereum: Ledger negou uma alegação recente de hack, após a OneKey revelar uma falha de substituição de transação em um teste de laboratório usando uma versão antiga do aplicativo Ethereum. O CTO da Ledger, Charles Guillemet, afirmou que o bug foi corrigido em agosto, sem impacto no mundo real. Os usuários são aconselhados a atualizar o aplicativo Ethereum para a versão 1.22.3+ e proteger os sistemas hospedeiros para reduzir riscos.
Fonte:Mostrar original
Aviso legal: as informações nesta página podem ter sido obtidas de terceiros e não refletem necessariamente os pontos de vista ou opiniões da KuCoin. Este conteúdo é fornecido apenas para fins informativos gerais, sem qualquer representação ou garantia de qualquer tipo, nem deve ser interpretado como aconselhamento financeiro ou de investimento. A KuCoin não é responsável por quaisquer erros ou omissões, ou por quaisquer resultados do uso destas informações.
Os investimentos em ativos digitais podem ser arriscados. Avalie cuidadosamente os riscos de um produto e a sua tolerância ao risco com base nas suas próprias circunstâncias financeiras. Para mais informações, consulte nossos termos de uso e divulgação de risco.