Разработчик криптокошельков Ledger отвергла утверждения о том, что она была взломана, после того как исследователи из компании-конкурента OneKey воспроизвели уязвимость подмены транзакций, используя устаревшую версию Ethereum-приложения Ledger.

В четверг основатель и генеральный директор OneKey Иши Ванг написал в X, что команда безопасности компании Anzen воссоздала атаку на Ethereum-приложение версии 1.22.1 в лабораторных условиях.

«Эта ошибка — состояние гонки между логикой отображения транзакции и базовым буфером транзакций», — написал Ванг. «Злоумышленник может перезаписать транзакцию, ожидающую подписи, пока пользователь всё ещё просматривает легитимную».

Такая уязвимость позволила бы хакеру, уже скомпрометировавшему программное обеспечение, взаимодействующее с уязвимым приложением Ledger, показать пользователю легитимную транзакцию Ethereum, а затем подменить её детали перед подписанием — переведя средства на кошелёк злоумышленника без отображения изменений на устройстве. Это важное условие: сама по себе уязвимость не даёт злоумышленнику доступа, а её эксплуатация предполагает, что хост-компьютер или соединение уже скомпрометированы.

Технический директор Ledger Шарль Гийеме отверг характеристику ситуации со стороны OneKey, заявив, что воспроизведение уже исправленной ошибки не является «взломом Ledger».

«В этой ветке описывается уязвимость в устаревшей версии Ethereum-приложения», — ответил он в X. «Она была выявлена в рамках нашего процесса обеспечения безопасности и исправлена в Ethereum-приложении 1.22.2, выпущенном 13 августа, то есть до этого поста».

В бюллетене безопасности, опубликованном в четверг, Ledger объяснила, что дефект мог привести к тому, что затронутое приложение отображало одну транзакцию, подписывая другую. Для эксплуатации злоумышленнику сначала потребовалось бы контролировать связь между устройством и хостом — с помощью вредоносного ПО, скомпрометированного приложения кошелька или враждебного веб-сайта.

Ledger заявила, что не нашла доказательств эксплуатации уязвимости за пределами лаборатории.

«Ни один пользователь не был взломан. Никакой эксплуатации в реальных условиях», — написал Гийеме. «Запуск эксплойта против старой версии после выпуска исправления — это лабораторное упражнение, а не открытие».

По данным компании, защитные меры были добавлены в Ethereum-приложение версии 1.22.2 13 августа, после чего первопричина была устранена в Secure SDK версии 26.6.1 21 августа, а приложения Ledger были пересобраны с исправленным программным обеспечением. Компания рекомендует версию 1.22.3 или новее, которая также исправляет отдельную уязвимость отображения транзакций. Бюллетень был опубликован 27 августа.

На вопрос о заявлениях OneKey Ledger направила Decrypt к Ledger Donjon, внутренней команде исследования безопасности компании, которая в отдельном посте в X заявила, что этот инцидент демонстрирует, почему аппаратные кошельки должны поддерживать обновления программного обеспечения.

«Во всём программном обеспечении есть ошибки. Аппаратные кошельки не исключение», — написала команда. «Поэтому обновляемость — ключевая часть архитектуры безопасности Ledger: когда обнаруживается уязвимость, будь то нашей собственной командой Donjon или внешними исследователями, мы можем исправить каждое устройство в поле. Кошелёк, который нельзя обновить, нельзя исправить».

Ledger посоветовала клиентам установить последние версии прошивки и приложений через Ledger Wallet, обновить Ethereum-приложение до версии 1.22.3 или новее и проверить версию, отображаемую на устройстве. Приложения и прошивка обновляются отдельно.

Ранее в этом месяце, после того как злоумышленники украли более 130 миллионов долларов в Bitcoin у пользователей аппаратных кошельков Coldcard, Гийеме рассказал Decrypt, что этот инцидент стал предупреждением для индустрии аппаратных кошельков.

«Мы также не полагаемся только на собственные заверения», — сказал он. «Наша исследовательская лаборатория Donjon существует для того, чтобы попытаться взломать наши продукты раньше всех остальных». Спор между двумя производителями кошельков разворачивается на фоне усиленного внимания к безопасности аппаратных кошельков во всей отрасли, а ближайшим практическим шагом для пользователей Ledger является проверка того, что их Ethereum-приложение обновлено до версии 1.22.3 или новее.