Ledger 已修補特定以太坊交易簽署流程中的一項漏洞，該漏洞可能讓惡意去中心化應用程式在使用者仍在審查交易時予以替換。此缺陷位於 dApp 與 Ledger 以太坊簽署流程之間的安全邊界——也就是使用者依賴硬體錢包確認自己確切打算授權哪筆交易之處。

該漏洞於 8 月 24 日被公開揭露，此前安全研究人員在以太坊應用程式的簽署流程中發現一項競態條件缺陷。據報導指出，攻擊者有可能利用此簽署流程，使裝置顯示一筆交易，實際上卻簽署另一筆。

攻擊的運作方式

風險集中在交易審查與最終批准之間的時間窗口。能存取裝置連線的惡意 dApp 可能在該窗口期間嘗試注入不同的交易資料。

這種情況將削弱硬體錢包的核心保護機制之一：讓使用者在簽署前於可信裝置上核對交易細節。Ledger 的以太坊工具透過其 Clear Signing（清晰簽署）架構強調人類可讀的交易資訊，旨在使批准更容易核實。

安全報告指出，該漏洞於 8 月 21 日通報給 Ledger，研究人員並在 Ledger 裝置上驗證了此行為。該問題隨後在以太坊應用程式的更新中獲得修復。

使用者應在簽署前完成更新

與以太坊 dApp 互動的 Ledger 使用者應更新 Ledger Wallet，並為其裝置安裝最新版以太坊應用程式。使用者在批准前也應繼續直接在硬體錢包上核對交易細節，因為相關的信任邊界正是裝置顯示正在簽署內容的那一刻。

該漏洞並不表示 Ledger 裝置已全面遭到入侵，也不代表私鑰已外洩。通報的問題實際上是特定簽署流程中所呈現交易資料的完整性。

此事件也凸顯了即使使用硬體錢包，交易驗證依然重要，尤其以太坊應用程式日益依賴難以一眼看懂的智慧合約互動。以太坊更廣泛的 Clear Signing（清晰簽署）倡議旨在強化該驗證層，向使用者顯示可理解的交易細節，而非晦澀難懂的合約資料。