Ledger heeft een kwetsbaarheid verholpen in bepaalde Ethereum-ondertekeningsflows voor transacties, waarmee een kwaadaardige gedecentraliseerde applicatie (dApp) een transactie had kunnen vervangen terwijl de gebruiker deze nog aan het controleren was. De fout bevond zich op de beveiligingsgrens tussen een dApp en het Ethereum-ondertekeningsproces van Ledger — het punt waarop gebruikers erop vertrouwen dat de hardware wallet exact bevestigt welke transactie ze willen autoriseren.

De kwetsbaarheid werd op 24 augustus openbaar gemeld, nadat beveiligingsonderzoekers een race-condition-fout ontdekten in de ondertekeningsflow van de Ethereum-app. Volgens de rapporten kon een aanvaller het ondertekeningsproces mogelijk zodanig misbruiken dat het apparaat één transactie toonde terwijl in werkelijkheid een andere werd ondertekend.

Hoe de aanval zou kunnen werken

Het risico spitste zich toe op het tijdsvenster tussen het controleren van de transactie en de uiteindelijke goedkeuring. Een kwaadaardige dApp met toegang tot de apparaatverbinding kon tijdens dat venster proberen andere transactiegegevens in te voeren.

Een dergelijk scenario zou één van de kernbeschermingen van een hardware wallet ondermijnen: gebruikers in staat stellen transactiegegevens te verifiëren op een vertrouwd apparaat vóór het ondertekenen. De Ethereum-tooling van Ledger benadrukt voor mensen leesbare transactie-informatie via de Clear Signing-architectuur, die is ontworpen om goedkeuringen makkelijker verifieerbaar te maken.

Uit de beveiligingsrapporten blijkt dat de kwetsbaarheid op 21 augustus bij Ledger werd gemeld en dat onderzoekers het gedrag op een Ledger-apparaat valideerden. Het probleem werd vervolgens verholpen in een update van de Ethereum-app.

Gebruikers dienen bij te werken vóór het ondertekenen

Ledger-gebruikers die gebruikmaken van Ethereum-dApps wordt aangeraden Ledger Wallet bij te werken en de nieuwste Ethereum-app voor hun apparaat te installeren. Gebruikers wordt ook geadviseerd transactiegegevens vóór goedkeuring direct op de hardware wallet te blijven controleren, aangezien de relevante vertrouwensgrens het moment is waarop het apparaat toont wat er wordt ondertekend.

De kwetsbaarheid betekent niet dat Ledger-apparaten in het algemeen waren gecompromitteerd of dat privésleutels zijn blootgesteld. Het gemelde probleem betrof veeleer de integriteit van de transactiegegevens die tijdens één specifieke ondertekeningsflow werden getoond.

Het incident onderstreept bovendien waarom transactieverificatie ook bij het gebruik van hardware wallets belangrijk blijft, zeker nu Ethereum-applicaties steeds vaker gebruikmaken van smart-contractinteracties die moeilijker in één oogopslag te beoordelen zijn. Het bredere Clear Signing-initiatief van Ethereum wil die verificatielaag versterken door gebruikers begrijpelijke transactiegegevens te tonen in plaats van ondoorzichtige contractdata.