Lo sviluppatore di wallet crittografici Ledger ha respinto le accuse di essere stato violato, dopo che i ricercatori di OneKey, produttrice concorrente di wallet, hanno riprodotto una vulnerabilità di sostituzione delle transazioni utilizzando una versione non aggiornata dell'app Ethereum di Ledger.

Giovedì, Yishi Wang, fondatore e amministratore delegato di OneKey, ha dichiarato su X che il team di sicurezza Anzen dell'azienda ha ricreato l'attacco contro la versione 1.22.1 dell'app Ethereum in un laboratorio.

"Il bug è una race condition tra la logica di visualizzazione della transazione e il buffer delle transazioni sottostante", ha scritto Wang. "Un attaccante può sovrascrivere la transazione in attesa di essere firmata mentre l'utente ne sta ancora esaminando una legittima."

Un difetto del genere permetterebbe a un hacker che avesse già compromesso il software che comunica con un'app Ledger vulnerabile di mostrare all'utente una transazione Ethereum legittima, per poi sostituirne i dettagli prima della firma, dirottando i fondi verso il wallet dell'attaccante senza che la modifica appaia sul dispositivo. Il prerequisito è significativo: la vulnerabilità da sola non garantisce all'attaccante alcun accesso, e sfruttarla presuppone che il computer host o la connessione siano già stati compromessi.

Il direttore tecnico di Ledger, Charles Guillemet, ha respinto l'interpretazione di OneKey, sostenendo che riprodurre un bug già corretto non equivale a "hackerare Ledger".

"Ciò che questo thread descrive è una vulnerabilità in una versione non aggiornata dell'app Ethereum", ha risposto su X. "È stata individuata tramite il nostro processo di sicurezza e corretta nell'app Ethereum 1.22.2, rilasciata il 13 agosto, prima di questo post."

In un bollettino di sicurezza pubblicato giovedì, Ledger ha spiegato che il difetto poteva far sì che un'app interessata mostrasse una transazione mentre ne firmava un'altra. Lo sfruttamento richiederebbe innanzitutto che un attaccante controlli le comunicazioni tra il dispositivo e il suo host, tramite malware, un'app wallet compromessa o un sito web ostile.

Ledger ha dichiarato di non aver trovato prove che qualcuno abbia sfruttato la vulnerabilità al di fuori di un laboratorio.

"Nessun utente è stato hackerato. Nessuno sfruttamento in-the-wild", ha scritto Guillemet. "Eseguire un exploit contro una vecchia versione dopo che la correzione è stata rilasciata è un esercizio di laboratorio, non una scoperta."

Secondo l'azienda, le protezioni sono state aggiunte nella versione 1.22.2 dell'app Ethereum il 13 agosto, prima che il problema sottostante fosse risolto nella versione 26.6.1 del Secure SDK il 21 agosto e che le app di Ledger fossero ricostruite con il software corretto. L'azienda consiglia la versione 1.22.3 o successiva, che corregge anche una separata vulnerabilità di visualizzazione delle transazioni. Il bollettino è stato pubblicato il 27 agosto.

Interpellata sulle affermazioni di OneKey, Ledger ha indirizzato Decrypt a Ledger Donjon, il team interno di ricerca sulla sicurezza dell'azienda, il quale in un separato post su X ha affermato che l'episodio dimostra perché i hardware wallet debbano supportare gli aggiornamenti software.

"Tutto il software ha bug. I hardware wallet non fanno eccezione", ha scritto il team. "Ecco perché l'aggiornabilità è una parte fondamentale dell'architettura di sicurezza di Ledger: quando viene trovata una vulnerabilità, che sia dal nostro team Donjon o da ricercatori esterni, possiamo correggere ogni dispositivo sul campo. Un wallet che non può essere aggiornato non può essere riparato."

Ledger ha consigliato ai clienti di installare il firmware e le app più recenti tramite Ledger Wallet, aggiornare l'app Ethereum alla versione 1.22.3 o successiva e verificare la versione visualizzata sul dispositivo. App e firmware si aggiornano separatamente.

All'inizio di questo mese, dopo che attaccanti hanno rubato più di 130 milioni di dollari in Bitcoin agli utenti di wallet air-gapped Coldcard, Guillemet aveva dichiarato a Decrypt che l'incident rappresentava un avvertimento per il settore dei hardware wallet.

"Non ci affidiamo nemmeno solo alla nostra parola", ha affermato. "Il nostro laboratorio di ricerca Donjon esiste per cercare di violare i nostri prodotti prima che possa farlo chiunque altro." La disputa tra le due produttrici di wallet si svolge nel contesto di una maggiore attenzione alla sicurezza dei hardware wallet in tutto il settore, e il passo pratico immediato per gli utenti di Ledger è verificare che la propria app Ethereum sia alla versione 1.22.3 o successiva.