Vulnerabilidade da carteira Ledger; utilizadores devem atualizar a aplicação Ethereum para a versão 1.22.2

Uma vulnerabilidade de segurança na aplicação Ethereum das carteiras de hardware Ledger foi identificada, que em circunstâncias específicas poderia permitir que um dApp malicioso assinasse uma transação diferente daquela que era mostrada ao utilizador no ecrã do dispositivo. A Ledger lançou a versão 1.22.2 da aplicação Ethereum para resolver este problema, e os utilizadores devem instalá-la o mais rapidamente possível.

De acordo com o site Mihan Blockchain, esta vulnerabilidade estava relacionada com a forma como os pedidos de assinatura eram geridos simultaneamente. No cenário de ataque, os detalhes da transação original ainda eram mostrados no ecrã do dispositivo, mas um segundo pedido poderia substituí-los na memória e, em última análise, um dado diferente poderia ser enviado para assinatura ao dispositivo.

Como funcionava a vulnerabilidade?

Segundo o relatório da empresa de segurança TestMachine, para explorar este bug era necessário um dApp com acesso WebHID; uma funcionalidade que permite a comunicação direta de algumas aplicações web com dispositivos de hardware.

Neste cenário, o atacante poderia enviar um segundo pedido de assinatura enquanto o utilizador estava a verificar uma transação. Este pedido substituía os dados da transação anterior na memória sem iniciar um novo processo de verificação. Como resultado, o utilizador ainda via as informações da transação original no ecrã, mas ao selecionar a opção de confirmação, acabava por assinar os dados substituídos.

A TestMachine também anunciou que reproduziu este cenário no Ledger Flex.

Que mudanças a Ledger fez para resolver o problema?

As alterações registadas no código oficial da Ledger mostram que a empresa adicionou dois controles de segurança para prevenir o ataque. Primeiro, a aplicação não permite mais que um novo pedido de assinatura interrompa o processo de verificação de uma transação já em curso. Segundo, ao receber o comando de confirmação, o estado atual do processo de assinatura é verificado e, se não corresponder ao estado esperado, o pedido será rejeitado.

Estas correções foram aplicadas na versão 1.22.2 da aplicação Ethereum, cuja data de lançamento remonta a 12 de agosto. No entanto, a TestMachine afirmou que esta versão ainda não está completamente disponível para os utilizadores.

De acordo com a TestMachine, devido ao uso de código comum, esta falha pode também afetar os modelos Nano X, Nano S Plus, Stax e Apex. O arquivo oficial da versão 1.22.2 também mencionou esses modelos, juntamente com o Ledger Flex, como dispositivos-alvo da aplicação Ethereum.

A Ledger ainda não especificou qual foi a primeira versão vulnerável desta aplicação. Portanto, não está claro quantas versões anteriores tinham este bug.

Divergência entre a Ledger e a TestMachine sobre a descoberta da vulnerabilidade

Charles Guillemet, CTO da Ledger, anunciou a 23 de agosto que a equipa de segurança interna Ledger Donjon havia identificado este bug antes do contato da TestMachine com o programa de bug bounty da empresa.

Guillemet afirmou que esta equipa havia encontrado e resolvido o problema existente em alguns processos de "assinatura transparente" cerca de duas semanas antes de seu comentário. Em contrapartida, a TestMachine afirmou que o sistema Azimuth identificou esta vulnerabilidade e compartilhou suas descobertas com a Ledger, confirmando sua veracidade.

Apesar da divergência nas narrativas sobre o tempo e a forma como a vulnerabilidade foi descoberta, ambas as partes confirmaram a existência do problema e a correção no código da aplicação.

É importante notar que até o momento não houve relatos confirmados de exploração desta vulnerabilidade no mundo real, roubo de ativos dos utilizadores ou extração de chaves privadas. No entanto, uma vez que a falha está diretamente relacionada ao processo de verificação e assinatura de transações, a atualização da aplicação é de extrema importância.

Os utilizadores da Ledger devem verificar a versão da aplicação Ethereum do seu dispositivo e, se estiverem a usar uma versão mais antiga, atualizá-la para 1.22.2. A Ledger também recomendou que os utilizadores atualizem não apenas a aplicação Ethereum, mas também o sistema operativo do dispositivo, outras aplicações e softwares de cliente para a versão mais recente.

Além disso, esta vulnerabilidade é diferente de outra falha de segurança que foi relatada anteriormente na aplicação nativa Zilliqa da Ledger e não está relacionada ao ataque de 2023 ao Connect Kit.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.