Производитель аппаратных кошельков Ledger сообщает, что устранил уязвимость в подписании Ethereum, связанную с тем, как его приложение Ethereum обрабатывало подписание транзакций. Компания описывает проблему как решенную, и эта статья основана на заявленном исправлении и сообщениях, связанных с ним.

Что Ledger заявила об уязвимости в подписании Ethereum

Проблему впервые отметил исследователь безопасности в публикации на X о приложении Ethereum для Ledger. Позднее Ledger указала, что уязвимость была исправлена. См. также: XRP Ledger's xrpld 3.3.0 Release Proposes Five Features.

Подписание — это этап, на котором аппаратный кошелек одобряет транзакцию. В этот момент устройство фактически подтверждает: «да, отправляйте это». Уязвимость в подписании означает, что этот этап подтверждения может работать не совсем так, как ожидает пользователь. См. также: Bitcoin and Ethereum Prices Surge as Short Liquidations Top $4B.

Согласно сообщениям об исправлении, проблема находилась внутри приложения Ethereum, которое работает на устройствах Ledger. Приложение имеет открытый исходный код, а его код доступен в публичном репозитории GitHub. Поскольку приложение выполняет базовую функцию безопасности для пользователей Ethereum, даже ошибка на уровне программного обеспечения может иметь значение не только для самой Ledger, так как аппаратные кошельки часто используются именно для снижения риска подмены транзакций.

Почему проблема с подписанием Ethereum была важна для пользователей кошельков

Аппаратные кошельки созданы для того, чтобы этап подтверждения оставался офлайн и был сложен для подмены. Когда под сомнение ставится этот этап, под вопросом оказывается и основное обещание устройства.

В одном из отчетов эта ошибка описывалась как допускающая подмену транзакции, то есть транзакция, которую пользователь считает одобренной, может не совпадать с той, которая фактически подписывается, согласно краткому изложению исправления. Именно такого рода риск аппаратные кошельки и призваны устранять.

Даже исправленная ошибка может повлиять на доверие. Пользователи, видевшие недавний bridge-эксплойт в The Sandbox, знают, что даже завершенный инцидент оставляет вопросы о том, как он вообще произошел.

Повышенное внимание к безопасности — обычное явление для широко используемого криптопрограммного обеспечения. Независимые аудиторы недавно обнаружили десятки ошибок в XRP Ledger до выпуска, что напоминает: поиск и исправление уязвимостей — часть того, как эта инфраструктура взрослеет.

Что означает исправление и на что пользователям смотреть дальше

Заявленное исправление обычно означает, что уязвимый код был исправлен и распространен через обновление приложения или прошивки. Для большинства пользователей аппаратных кошельков практический шаг — поддерживать актуальность ПО.

Проверьте через официальное ПО Ledger, актуальны ли ваше приложение Ledger Ethereum и прошивка устройства. Применение обновлений — это то, как исправление фактически попадает на устройство.

Также важно продолжать проверять транзакции на экране самого устройства, а не только в подключенном приложении. Именно этот проверочный шаг на устройстве и пытаются обойти уязвимости в подписании.

Доступные исследования ограничены, и Ledger не публиковала подробные технические сведения в рассмотренных источниках. Следите за любыми последующими раскрытиями или разъяснениями, особенно с учетом сохраняющегося интереса к развитию Ethereum на рынке. Пока безопасный вывод прост: Ledger заявляет, что проблема исправлена, а пользователям следует убедиться, что их программное обеспечение это отражает.

Отказ от ответственности: эта статья носит исключительно информационный характер и не является финансовой или инвестиционной рекомендацией. Рынки криптовалют и цифровых активов связаны со значительным риском. Перед принятием решений всегда проводите собственное исследование.