История с Ledger Ethereum app вышла крайне мутная. Внутри дела есть и race condition, и злоумышленник, и спор о том, кто первым нашёл баг.
Суть проблемы в так называемом clear signing - функции, которая должна показывать на экране устройства реальные детали транзакции: сумму, адрес, действие смарт-контракта. Злоумышленное приложение могло отправить конкурирующую команду, пока пользователь ещё изучал легитимную транзакцию, и в итоге экран показывал одну операцию, а на подпись уходила другая. На практике это означало, что вместо разрешения на маленький перевод токенов можно было незаметно подписать неограниченное разрешение на токены в адрес, контролируемый атакующим.
Внутренняя команда безопасности Ledger, Donjon, нашла проблему с помощью инструментов на основе искусственного интеллекта и подготовила исправление. Патч вышел 12 августа в версии Ethereum-приложения 1.22.2, но компания почти ничего не сообщила публично, пока разговор не подняла независимая команда исследователей.
Именно тогда всё и завертелось. Компания TestMachine со своим ИИ-сканером Azimuth заявила, что нашла и подтвердила проблему на устройстве Ledger Flex, и указала, что она присутствует также в Nano X, Nano S Plus, Stax и Apex.
CTO Ledger Charles Guillemet отреагировал резко:
«There's some FUD circulating about Ledger signers»
По его словам, баг был закрыт ещё за две недели до публичного разглашения, а тревога вокруг находки - это "manufacturing fear for attention". Подтверждённых случаев кражи средств из-за этой уязвимости так и не нашлось.
История на этом не закончилась. Спустя пару дней Ledger выпустила версию 1.22.3, где закрыла ещё два похожих бага в подписании транзакций. Секретный чип и seed-фразу уязвимости не затрагивали - проблема была именно в достоверности того, что показывалось на экране перед подписью.
Если у вас Ledger с Ethereum-приложением - обновите и Ledger Live, и прошивку, и само приложение до актуальной версии. И как обычно, внимательно сверяйте детали транзакции на экране устройства перед подтверждением.
#Ledger #Ethereum #ClearSigning
💰Автоматический обмен