Der Krypto-Wallet-Anbieter Ledger hat Behauptungen zurückgewiesen, das Unternehmen sei gehackt worden, nachdem Forscher des Konkurrenzanbieters OneKey eine Schwachstelle zum Ersetzen von Transaktionen mit einer veralteten Version von Ledger's Ethereum-App reproduziert hatten.

Am Donnerstag erklärte Yishi Wang, Gründer und CEO von OneKey, auf X, dass das Anzen-Sicherheitsteam des Unternehmens den Angriff gegen Ethereum-App Version 1.22.1 im Labor nachgestellt habe.

„Der Fehler ist eine Race Condition zwischen der Anzeigelogik der Transaktion und dem zugrunde liegenden Transaktionspuffer“, schrieb Wang. „Ein Angreifer kann die Transaktion, die auf die Signatur wartet, überschreiben, während der Nutzer noch eine legitime prüft.“

Eine solche Schwachstelle würde es einem Hacker, der die Software bereits kompromittiert hat, die mit einer verwundbaren Ledger-App kommuniziert, ermöglichen, dem Nutzer eine legitime Ethereum-Transaktion anzuzeigen und deren Details vor der Signatur auszutauschen – wodurch Gelder in die Wallet des Angreifers umgeleitet würden, ohne dass die Änderung auf dem Gerät erscheint. Die Voraussetzung ist erheblich: Die Schwachstelle allein verschafft einem Angreifer keinen Zugriff, und ihre Ausnutzung setzt voraus, dass der Host-Computer oder die Verbindung bereits kompromittiert sind.

Ledgers Chief Technology Officer Charles Guillemet wies OneKeys Darstellung zurück und argumentierte, dass die Reproduktion eines bereits behobenen Fehlers kein „Hack von Ledger“ sei.

„Was dieser Thread beschreibt, ist eine Schwachstelle in einer veralteten Version der Ethereum-App“, antwortete er auf X. „Sie wurde durch unseren Sicherheitsprozess identifiziert und in Ethereum-App 1.22.2 behoben, die am 13. August – vor diesem Beitrag – veröffentlicht wurde.“

In einem am Donnerstag veröffentlichten Sicherheitsbulletin erklärte Ledger, dass der Fehler dazu führen könnte, dass eine betroffene App eine Transaktion anzeigt, während eine andere signiert wird. Für eine Ausnutzung müsste ein Angreifer zunächst die Kommunikation zwischen dem Gerät und seinem Host kontrollieren – etwa über Malware, eine kompromittierte Wallet-App oder eine bösartige Website.

Ledger erklärte, keine Hinweise darauf gefunden zu haben, dass die Schwachstelle außerhalb eines Labors ausgenutzt wurde.

„Kein Nutzer wurde gehackt. Keine Ausnutzung in der Praxis“, schrieb Guillemet. „Einen Exploit gegen eine alte Version auszuführen, nachdem der Fix ausgeliefert wurde, ist eine Laborübung, keine Erkenntnis.“

Laut dem Unternehmen wurden am 13. August Schutzmaßnahmen in Ethereum-App Version 1.22.2 hinzugefügt, bevor das zugrunde liegende Problem am 21. August in Secure SDK Version 26.6.1 behoben und Ledgers Apps mit der korrigierten Software neu erstellt wurden. Das Unternehmen empfiehlt Version 1.22.3 oder höher, die auch eine separate Schwachstelle bei der Transaktionsanzeige behebt. Das Bulletin wurde am 27. August veröffentlicht.

Auf Anfrage zu OneKeys Behauptungen verwies Ledger Decrypt auf Ledger Donjon, das interne Sicherheitsforschungsteam des Unternehmens, das in einem separaten X-Beitrag erklärte, der Vorfall zeige, warum Hardware-Wallets Software-Updates unterstützen müssten.

„Jede Software hat Fehler. Hardware-Wallets sind da keine Ausnahme“, schrieb das Team. „Deshalb ist Update-Fähigkeit ein Kernbestandteil von Ledgers Sicherheitsarchitektur: Wenn eine Schwachstelle gefunden wird – ob von unserem eigenen Donjon-Team oder von externen Forschern –, können wir jedes Gerät im Feld patchen. Eine Wallet, die nicht aktualisiert werden kann, kann nicht repariert werden.“

Ledger empfahl seinen Kunden, die neueste Firmware und Apps über Ledger Wallet zu installieren, die Ethereum-App auf Version 1.22.3 oder höher zu aktualisieren und die auf dem Gerät angezeigte Version zu überprüfen. Apps und Firmware werden separat aktualisiert.

Anfang dieses Monats, nachdem Angreifer mehr als 130 Millionen US-Dollar in Bitcoin von Nutzern der air-gapped Coldcard-Wallets gestohlen hatten, sagte Guillemet gegenüber Decrypt, der Vorfall sei eine Warnung für die Hardware-Wallet-Branche.

„Wir verlassen uns auch nicht nur auf unser eigenes Wort“, sagte er. „Unser Donjon-Forschungslabor existiert, um zu versuchen, unsere Produkte zu brechen, bevor es jemand anderes kann.“ Die Auseinandersetzung zwischen den beiden Wallet-Anbietern findet vor dem Hintergrund verschärfter Prüfung der Sicherheit von Hardware-Wallets in der gesamten Branche statt; der unmittelbare praktische Schritt für Ledger-Nutzer besteht darin, zu überprüfen, ob ihre Ethereum-App auf Version 1.22.3 oder höher läuft.