Il team di sicurezza interno di OneKey, fornitore open-source di portafogli hardware, dichiara di aver riprodotto con successo in un ambiente di test un exploit mirato a una versione obsoleta dell'applicazione Ethereum integrata nei dispositivi Ledger.

Il fondatore e amministratore delegato di OneKey, Yishi Wang, ha affermato che il team ha eseguito un "attacco di sostituzione delle transazioni" contro la versione 1.22.1 dell'app Ethereum di Ledger, sfruttando una vulnerabilità già corretta in precedenza che avrebbe potuto consentire a degli aggressori di sovrascrivere la transazione in attesa di firma mentre l'utente stava ancora esaminando sullo schermo la transazione legittima. I dispositivi Ledger sono portafogli hardware che richiedono agli utenti di confermare fisicamente le transazioni prima che vengano trasmesse a una blockchain. Gli attacchi di sostituzione delle transazioni sono rilevanti in questo contesto perché colpiscono il modello di fiducia su cui si basano i portafogli hardware: l'assunto che ciò che l'utente verifica sullo schermo del dispositivo corrisponda esattamente a ciò che viene firmato e trasmesso.

In risposta alla ricerca, Ledger ha dichiarato che per sfruttare la vulnerabilità era necessario avere il controllo delle comunicazioni tra il dispositivo e il computer host, ad esempio tramite malware, software di portafoglio compromesso o una pagina web ostile. L'azienda ha aggiunto misure di protezione a livello di app con la versione 1.22.2 dell'app Ethereum, rilasciata il 13 agosto, per poi correggere il problema alla radice in Secure SDK 26.6.1 il 21 agosto. L'episodio ricorda che anche i portafogli hardware dipendono da firmware e applicazioni aggiornati, poiché le vulnerabilità sono in genere sfruttabili solo su versioni obsolete.

"Nessun utente Ledger è stato hackerato. Ciò che viene descritto è una riproduzione in laboratorio di una vulnerabilità in una versione obsoleta dell'app Ethereum", ha scritto Ledger in un post su X: https://x.com/Ledger/status/2093007184779006334

Il test di sicurezza arriva dopo l'exploit di Coldcard divulgato a luglio, in cui degli aggressori hanno sfruttato un bug del firmware introdotto a marzo 2021 che indeboliva la casualità del seed su alcuni portafogli Coldcard, lasciando le relative chiavi private vulnerabili ad attacchi di forza bruta.

Ledger aveva in precedenza affermato che i propri dispositivi non erano interessati dalla vulnerabilità di Coldcard, poiché le frasi di recupero vengono generate utilizzando una fonte di casualità certificata integrata nel chip di sicurezza del dispositivo.

La vulnerabilità riprodotta da OneKey non è legata alla generazione del seed, ma riguarda invece la gestione delle transazioni durante il processo di firma. Nel complesso, queste divulgazioni hanno contribuito a intensificare i controlli sulla sicurezza dei portafogli hardware a livello di settore, con ricercatori indipendenti che mettono sempre più spesso alla testare le dichiarazioni dei fornitori in ambienti di laboratorio invece di affidarsi unicamente ai vendor audit.