Ledger heeft een fout in zijn Ethereum-app verholpen die ertoe kon leiden dat een apparaat de ene transactie op zijn scherm toonde terwijl stilletjes een andere werd ondertekend. De bug trof de kernbelofte van een hardwarewallet: dat wat een gebruiker op het scherm ziet precies is wat wordt goedgekeurd.

Wat Ledger heeft verholpen in zijn Ethereum-app

Een hardwarewallet is een klein fysiek apparaat dat cryptografische sleutels offline bewaart. De fix is uitgebracht in de Ledger Ethereum-app, de software waarmee deze apparaten Ethereum-transacties ondertekenen. Ledger is een van de meest gebruikte fabrikanten van hardwarewallets, waardoor een fout in dit ondertekeningspad veel gebruikers had kunnen bereiken.

Het probleem was een mismatch. Volgens de onderzoeker die het probleem signaleerde kon het scherm één set transactiegegevens tonen terwijl het apparaat iets anders ondertekende.

Een dergelijk verschil wordt als hoog ernstig beschouwd. Het hele doel van een hardwarewallet is om gebruikers op een vertrouwd scherm een betaling te laten verifiëren vóór goedkeuring; als het display niet te vertrouwen is, valt die beveiliging weg. Ledger zegt dat de ondertekeningsfout al was verholpen, zoals gemeld door crypto.news.

Waarom de transactie-mismatch belangrijk is voor Ethereum-gebruikers

De veiligheid van een hardwarewallet rust op één gewoonte: het scherm van het apparaat lezen vóór het ondertekenen. Gebruikers controleren het bedrag, het ontvangstadres en de handeling op hardware die een gehackte computer niet gemakkelijk kan misleiden. Een transactie wordt op de computer voorbereid en vervolgens naar het apparaat gestuurd voor goedkeuring, waardoor het scherm de grens vormt tussen een onbetrouwbare machine en de sleutels die binnenin worden bewaard.

Wanneer display en handtekening niet overeenkomen, beschermt die gewoonte de gebruiker niet langer. Iemand kan denken dat hij een kleine overboeking goedkeurt terwijl hij in werkelijkheid iets geheel anders autoriseert.

Ethereum verhoogt de inzet verder. Veel Ethereum-transacties zijn contractinteracties, dus aanroepen van geautomatiseerde programma's die op de blockchain draaien. Die zijn moeilijker te lezen dan een eenvoudige betaling, waardoor een nauwkeurige prompt op het apparaat nog belangrijker is. De app bevat al een instelling die bekendstaat als blind signing, die gebruikers moeten inschakelen voor contractaanroepen die het apparaat niet volledig kan ontcijferen; die optie bestaat juist omdat sommige transacties zich niet duidelijk laten weergeven, wat de nauwkeurigheid van alles wat het scherm wél toont des te belangrijker maakt.

Fouten waarbij display en ondertekening uit elkaar lopen zijn niet uniek voor één product. Eerder dit jaar werd een Ledger-ondertekeningsbug in verband gebracht met verliezen op het Zilliqa-netwerk, wat laat zien hoe ondertekeningsfouten kunnen uitmonden in echte diefstal. Risico's in de ondertekeningslaag reiken ook verder dan wallets, zoals bleek toen een autorisatiefout miljoenen BounceBit-tokens verplaatste.

Wat Ledger-gebruikers na de patch moeten doen

Omdat Ledger een fix heeft uitgebracht, is de eerste stap de Ethereum-app bij te werken via Ledger Live en te bevestigen dat de huidige versie is geïnstalleerd. Wijzigingen zijn te volgen in de publieke code en release notes van de app op de Ledger Ethereum app repository, zodat latere fixes daar zichtbaar worden zodra ze worden uitgebracht.

Gebruikers moeten blijven controleren of elk transactiegegeven op het apparaatscherm klopt vóór goedkeuring, ook na de update. Als wat het apparaat toont ooit afwijkt van wat de computer weergeeft, is het veilig om de transactie te weigeren. Het scherm is de laatste verdedigingslinie, en even de tijd nemen om het te lezen kost niets.

De praktische les is eenvoudig: update de app en vertrouw daarna op wat op het hardware-scherm staat, niet alleen op de computer.

Disclaimer: Dit artikel is uitsluitend bedoeld ter informatie en vormt geen financieel of beleggingsadvies. Markten voor cryptocurrency en digitale activa brengen aanzienlijke risico's met zich mee. Doe altijd eigen onderzoek voordat u beslissingen neemt.