Das interne Sicherheitsteam des Open-Source-Hardware-Wallet-Anbieters OneKey gibt an, in einer Testumgebung erfolgreich einen Exploit gegen eine veraltete Version der Ethereum-Anwendung von Ledger reproduziert zu haben.

OneKey-Gründer und CEO Yishi Wang erklärte, das Team habe einen „Transaction-Replacement-Angriff“ gegen Version 1.22.1 der Ledger-Ethereum-App ausgeführt, indem eine zuvor gepatchte Schwachstelle ausgenutzt wurde. Diese könnte Angreifern ermöglichen, die zur Signatur anstehende Transaktion zu überschreiben, während der Nutzer die legitime Transaktion noch auf dem Bildschirm prüfte. Ledger-Geräte sind Hardware-Wallets, die eine physische Bestätigung der Transaktionen durch den Nutzer erfordern, bevor diese an eine Blockchain übertragen werden. Transaction-Replacement-Angriffe sind in diesem Kontext besonders relevant, da sie das Vertrauensmodell angreifen, auf dem Hardware-Wallets basieren – die Annahme, dass das, was der Nutzer auf dem Gerätebildschirm verifiziert, exakt dem entspricht, was signiert und übertragen wird.

Als Reaktion auf die Forschungsergebnisse erklärte Ledger, dass die Ausnutzung der Schwachstelle die Kontrolle über die Kommunikation zwischen Gerät und Host-Computer erforderte – etwa durch Malware, kompromittierte Wallet-Software oder eine bösartige Webseite. Das Unternehmen ergänzte Schutzmaßnahmen auf App-Ebene mit der am 13. August veröffentlichten Ethereum-App-Version 1.22.2, bevor das zugrunde liegende Problem am 21. August in Secure SDK 26.6.1 behoben wurde. Der Vorfall zeigt, dass selbst Hardware-Wallets von aktueller Firmware und zugehörigen Anwendungen abhängen, da Schwachstellen in der Regel nur in veralteten Versionen ausnutzbar sind.

„Kein Ledger-Nutzer wurde gehackt. Was hier beschrieben wird, ist eine Labor-Reproduktion einer Schwachstelle in einer veralteten Version der Ethereum-App“, schrieb Ledger in einem Beitrag auf X: https://x.com/Ledger/status/2093007184779006334

Der Sicherheitstest erfolgte nach dem im Juli offengelegten Coldcard-Exploit, bei dem Angreifer einen Firmware-Fehler ausnutzten, der im März 2021 eingeführt wurde und die Seed-Zufälligkeit einiger Coldcard-Wallets schwächte, wodurch die daraus resultierenden privaten Schlüssel für Brute-Force-Angriffe anfällig waren.

Ledger hatte zuvor erklärt, dass seine Geräte von der Coldcard-Schwachstelle nicht betroffen waren, da Wiederherstellungsphrasen mit einer zertifizierten Zufallsquelle generiert werden, die im Sicherheitschip des Geräts integriert ist.

Die von OneKey reproduzierte Schwachstelle steht nicht im Zusammenhang mit der Seed-Generierung, sondern betrifft die Verarbeitung von Transaktionen während des Signaturvorgangs. Zusammen haben die Veröffentlichungen zu einer verstärkten Prüfung der Sicherheit von Hardware-Wallets in der Branche beigetragen, wobei unabhängige Forscher die Angaben der Hersteller zunehmend in Laborumgebungen testen, statt sich allein auf Hersteller-Audits zu verlassen.