Vulnerabilità del portafoglio Ledger; gli utenti devono aggiornare l'app Ethereum alla versione 1.22.2

È stata identificata una vulnerabilità di sicurezza nell'app Ethereum dei portafogli hardware Ledger, che in determinate condizioni potrebbe consentire a un dApp malevolo di firmare una transazione diversa da quella mostrata sullo schermo del dispositivo all'utente. Ledger ha rilasciato la versione 1.22.2 dell'app Ethereum per risolvere questo problema e gli utenti devono installarla il prima possibile.

Secondo quanto riportato da Mihan Blockchain, questa vulnerabilità riguardava il modo in cui venivano gestite simultaneamente le richieste di firma. In uno scenario di attacco, i dettagli della transazione originale venivano ancora mostrati sullo schermo del dispositivo, ma una seconda richiesta poteva sostituirli in memoria, e infine veniva inviata al dispositivo una firma diversa.

Come funzionava la vulnerabilità?

Secondo il rapporto della società di sicurezza TestMachine, per sfruttare questo bug era necessario un dApp con accesso WebHID; una funzionalità che consente la comunicazione diretta tra alcune applicazioni web e dispositivi hardware.

In questo scenario, l'attaccante poteva inviare una seconda richiesta di firma mentre l'utente stava esaminando una transazione. Questa richiesta sostituiva i dati della transazione precedente in memoria senza avviare un nuovo processo di revisione. Di conseguenza, l'utente continuava a vedere le informazioni della transazione iniziale sullo schermo, ma firmava i dati sostituiti selezionando l'opzione di conferma.

TestMachine ha anche dichiarato di aver riprodotto questo scenario su Ledger Flex.

Quali modifiche ha apportato Ledger per risolvere il problema?

Le modifiche registrate nel codice ufficiale di Ledger mostrano che l'azienda ha aggiunto due controlli di sicurezza per prevenire l'attacco. In primo luogo, l'app non consente più che una richiesta di firma nuova interrompa il processo di revisione di una transazione in corso. In secondo luogo, quando viene ricevuto un comando di conferma, viene verificato lo stato attuale del processo di firma e, se non corrisponde allo stato previsto, la richiesta verrà rifiutata.

Queste correzioni sono state applicate nella versione 1.22.2 dell'app Ethereum, la cui storia di rilascio risale al 12 agosto. Tuttavia, TestMachine ha affermato che questa versione non è ancora stata completamente distribuita agli utenti.

Secondo TestMachine, a causa dell'uso di codice condiviso, questa vulnerabilità potrebbe influenzare anche i modelli Nano X, Nano S Plus, Stax e Apex. Il file ufficiale della versione 1.22.2 ha anche menzionato questi modelli insieme a Ledger Flex come dispositivi target per l'app Ethereum.

Ledger non ha ancora specificato quale fosse la prima versione vulnerabile di questa app. Pertanto, non è chiaro quante versioni precedenti avessero questo bug.

Discrepanza tra Ledger e TestMachine riguardo alla scoperta della vulnerabilità

Charles Guillemet, Chief Technology Officer di Ledger, ha dichiarato il 23 agosto che il team di sicurezza interno Ledger Donjon aveva identificato questo bug prima che la società TestMachine contattasse il programma di bug bounty dell'azienda.

Guillemet ha affermato che questo team aveva trovato e risolto il problema in alcuni processi di "firma trasparente" circa due settimane prima della sua dichiarazione. Al contrario, TestMachine ha dichiarato che il sistema Azimuth aveva identificato questa vulnerabilità e aveva condiviso le proprie scoperte con Ledger, confermandone anche la validità.

Nonostante questa discrepanza nei racconti riguardo al momento e al modo in cui è stata scoperta la vulnerabilità, entrambe le parti hanno confermato l'esistenza del problema e la sua correzione nel codice dell'app.

È importante notare che fino ad ora non sono stati segnalati casi confermati di sfruttamento di questa vulnerabilità nel mondo reale, furto di beni degli utenti o estrazione di chiavi private. Tuttavia, poiché la vulnerabilità è direttamente correlata al processo di verifica e firma delle transazioni, l'aggiornamento dell'app è di particolare importanza.

Gli utenti di Ledger devono controllare la versione dell'app Ethereum del proprio dispositivo e, se utilizzano una versione precedente, aggiornarla a 1.22.2. Ledger ha anche consigliato agli utenti di aggiornare sempre all'ultima versione non solo l'app Ethereum, ma anche il sistema operativo del dispositivo, altre app e software client correlati.

Inoltre, questa vulnerabilità è diversa da un'altra vulnerabilità di sicurezza precedentemente segnalata nell'app nativa Zilliqa di Ledger e non è correlata all'attacco del 2023 a Connect Kit.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.