27 августа основатель кошелька OneKey Yishi Wang заявил, что его команда (OneKey_Anzen) воспроизвела в лаборатории атаку на Ledger: подмену транзакции в момент подписания в Ethereum-приложении версии
1.22.1. Пользователь видит на экране одну транзакцию, подтверждает её — а подписывается совсем другая.Ledger отреагировал жёстко: CTO компании Чарльз Гийеме заявил, что «воспроизвести уже пропатченный баг — это не взлом Ledger», и что OneKey тестировала устаревшую версию приложения. И формально он прав — патчи вышли на 2 дня раньше публичного заявления.
Как менялись версии:
▪️
1.22.1 — 27.05–11.08.2026 (77 дней) ← та самая уязвимая версия▪️
1.22.2 — 12.08–24.08.2026 (13 дней, первые проверки состояния)▪️
1.22.3 — с 25.08.2026, актуальна сейчас (плюс Secure SDK 26.6.1 от 21.08)То есть уязвимая версия была «текущей» почти 2,5 месяца, и всё это время пользователи были потенциально под риском — пока баг не закрыли тихо, в рамках обычного обновления.
Что ещё важно: официальный security bulletin (LSB-023) с описанием этой уязвимости Ledger выпустил далеко не сразу и без развёрнутого списка затронутых версий. А буквально в те же дни всплыли ещё два независимых бага в том же Ethereum-приложении (LSB-024 и LSB-025) — один из них жил в коде с версии
1.19.0.Вывод: не игнорируйте обновления прошивки и приложений кошелька — компании не всегда спешат публично и вовремя признавать найденные баги, патчи часто выходят тихо, без громких предупреждений. И даже апдейт, который в описании выглядит как правки интерфейса, внутри может закрывать критическую уязвимость.
Подписывайтесь на наш канал, чтобы не пропустить такие разборы 👇
@ITmoneyBridge