Ledger a corrigé une vulnérabilité dans certains flux de signature de transactions Ethereum qui aurait pu permettre à une application décentralisée (dApp) malveillante de substituer une transaction pendant que l'utilisateur l'examinait encore. La faille se situait à la frontière de sécurité entre une dApp et le processus de signature Ethereum de Ledger — le point où les utilisateurs dépendent du portefeuille matériel pour confirmer exactement quelle transaction ils ont l'intention d'autoriser.

La vulnérabilité a été signalée publiquement le 24 août, après que des chercheurs en sécurité ont identifié une faille de type situation de concurrence (race condition) dans le flux de signature de l'application Ethereum. Selon les rapports, un attaquant pouvait potentiellement exploiter le processus de signature de sorte que l'appareil affiche une transaction tout en en signant en réalité une autre.

Comment l'attaque pourrait fonctionner

Le risque portait sur l'intervalle entre la vérification de la transaction et l'approbation finale. Une dApp malveillante ayant accès à la connexion de l'appareil pouvait tenter d'introduire des données de transaction différentes pendant cette fenêtre.

Un tel scénario minerait l'une des protections essentielles d'un portefeuille matériel : permettre aux utilisateurs de vérifier les détails d'une transaction sur un appareil de confiance avant de signer. Les outils Ethereum de Ledger mettent l'accent sur des informations de transaction lisibles par l'humain grâce à leur architecture Clear Signing, conçue pour faciliter la vérification des approbations.

Les rapports de sécurité indiquent que la vulnérabilité a été signalée à Ledger le 21 août et que les chercheurs ont validé le comportement sur un appareil Ledger. Le problème a ensuite été résolu dans une mise à jour de l'application Ethereum.

Les utilisateurs doivent mettre à jour avant de signer

Les utilisateurs de Ledger qui interagissent avec des dApps Ethereum devraient mettre à jour Ledger Wallet et installer la dernière version de l'application Ethereum disponible pour leur appareil. Ils devraient également continuer à vérifier les détails des transactions directement sur le portefeuille matériel avant d'approuver, car la frontière de confiance pertinente correspond au moment où l'appareil affiche ce qui est signé.

La vulnérabilité ne signifie pas que les appareils Ledger ont été compromis de manière générale ni que des clés privées ont été exposées. Le problème signalé concernait plutôt l'intégrité des données de transaction présentées durant un flux de signature particulier.

L'incident souligne également pourquoi la vérification des transactions reste importante même avec des portefeuilles matériels, d'autant que les applications Ethereum s'appuient de plus en plus sur des interactions avec des contrats intelligents qui peuvent être plus difficiles à lire d'un coup d'œil. L'initiative Clear Signing plus large d'Ethereum vise à renforcer cette couche de vérification en montrant aux utilisateurs des détails de transaction compréhensibles plutôt que des données de contrat opaques.