ช่องโหว่ของกระเป๋าเงิน Ledger; ผู้ใช้ต้องอัปเดตแอปพลิเคชัน Ethereum เป็นเวอร์ชัน 1.22.2

มีช่องโหว่ด้านความปลอดภัยในแอปพลิเคชัน Ethereum ของกระเป๋าเงินฮาร์ดแวร์ Ledger ที่สามารถอนุญาตให้ dApp ที่เป็นอันตรายเซ็นธุรกรรมที่แตกต่างจากสิ่งที่แสดงบนหน้าจอของอุปกรณ์ให้กับผู้ใช้ในสถานการณ์เฉพาะได้ Ledger ได้เผยแพร่เวอร์ชัน 1.22.2 ของแอปพลิเคชัน Ethereum เพื่อแก้ไขปัญหานี้ และผู้ใช้ควรติดตั้งโดยเร็วที่สุด

ตามรายงานของ Mihan Blockchain ช่องโหว่นี้เกี่ยวข้องกับวิธีการจัดการคำขอการเซ็นพร้อมกัน ในสถานการณ์การโจมตี รายละเอียดของธุรกรรมหลักยังคงแสดงบนหน้าจอของอุปกรณ์ แต่คำขอที่สองสามารถแทนที่มันในหน่วยความจำและในที่สุดส่งข้อมูลที่แตกต่างกันสำหรับการเซ็นไปยังอุปกรณ์

ช่องโหว่ทำงานอย่างไร?

ตามรายงานของบริษัทความปลอดภัย TestMachine การใช้ช่องโหว่นี้ต้องการ dApp ที่เข้าถึง WebHID ซึ่งเป็นฟีเจอร์ที่อนุญาตให้โปรแกรมเว็บบางโปรแกรมสื่อสารโดยตรงกับอุปกรณ์ฮาร์ดแวร์

ในสถานการณ์นี้ ผู้โจมตีสามารถส่งคำขอการเซ็นที่สองในขณะที่ผู้ใช้กำลังตรวจสอบธุรกรรม คำขอนี้จะแทนที่ข้อมูลธุรกรรมก่อนหน้าในหน่วยความจำโดยไม่เริ่มกระบวนการตรวจสอบใหม่ ดังนั้นผู้ใช้ยังคงเห็นข้อมูลธุรกรรมเริ่มต้นบนหน้าจอ แต่เมื่อเลือกตัวเลือกยืนยัน เขาจะเซ็นข้อมูลที่ถูกแทนที่

TestMachine ยังได้ประกาศว่าพวกเขาได้ทำซ้ำสถานการณ์นี้บน Ledger Flex

Ledger ได้ทำการเปลี่ยนแปลงอะไรเพื่อแก้ไขปัญหา?

การเปลี่ยนแปลงที่บันทึกในโค้ดอย่างเป็นทางการของ Ledger แสดงให้เห็นว่าบริษัทได้เพิ่มการควบคุมด้านความปลอดภัยสองอย่างเพื่อป้องกันการโจมตี ประการแรก แอปพลิเคชันจะไม่อนุญาตให้คำขอการเซ็นใหม่รบกวนในขณะที่กระบวนการตรวจสอบธุรกรรมกำลังทำงานอยู่ ประการที่สอง เมื่อได้รับคำสั่งยืนยัน สถานะปัจจุบันของกระบวนการเซ็นจะถูกตรวจสอบ และหากไม่ตรงกับสถานะที่คาดหวัง คำขอจะถูกปฏิเสธ

การแก้ไขเหล่านี้ได้ถูกนำไปใช้ในเวอร์ชัน 1.22.2 ของแอปพลิเคชัน Ethereum ซึ่งมีประวัติการเผยแพร่ตั้งแต่วันที่ 12 สิงหาคม อย่างไรก็ตาม TestMachine อ้างว่าเวอร์ชันนี้ยังไม่ได้ถูกส่งมอบให้กับผู้ใช้ทั้งหมด

ตามที่ TestMachine กล่าว เนื่องจากการใช้โค้ดร่วมกัน ช่องโหว่นี้อาจส่งผลกระทบต่อโมเดล Nano X, Nano S Plus, Stax และ Apex ไฟล์อย่างเป็นทางการของเวอร์ชัน 1.22.2 ยังได้ระบุโมเดลเหล่านี้ควบคู่ไปกับ Ledger Flex ว่าเป็นอุปกรณ์เป้าหมายของแอปพลิเคชัน Ethereum

Ledger ยังไม่ได้ระบุว่าเวอร์ชันแรกที่มีช่องโหว่นี้คือเวอร์ชันใด ดังนั้นจึงไม่ชัดเจนว่ามีกี่เวอร์ชันก่อนหน้านี้ที่มีช่องโหว่นี้

ความแตกต่างในเรื่องราวระหว่าง Ledger และ TestMachine เกี่ยวกับการค้นพบช่องโหว่

Charles Guillemet, CTO ของ Ledger ได้ประกาศเมื่อวันที่ 23 สิงหาคมว่า ทีมความปลอดภัยภายใน Ledger Donjon ได้ค้นพบช่องโหว่นี้ก่อนที่บริษัท TestMachine จะติดต่อเกี่ยวกับโปรแกรม Bug Bounty ของบริษัท

Guillemet กล่าวว่า ทีมนี้ได้ค้นพบและแก้ไขปัญหาที่เกิดขึ้นในบางกระบวนการ "การเซ็นที่โปร่งใส" ประมาณสองสัปดาห์ก่อนที่เขาจะให้ความคิดเห็น ในทางกลับกัน TestMachine ได้ประกาศว่า ระบบ Azimuth ได้ระบุช่องโหว่นี้และได้แบ่งปันผลการค้นพบกับ Ledger และยืนยันความถูกต้องของมัน

แม้ว่าจะมีความแตกต่างในเรื่องราวเกี่ยวกับเวลาและวิธีการค้นพบช่องโหว่ แต่ทั้งสองฝ่ายได้ยืนยันว่ามีปัญหาและการแก้ไขในโค้ดของแอปพลิเคชัน

ควรกล่าวถึงว่า จนถึงขณะนี้ยังไม่มีรายงานการใช้ช่องโหว่นี้ในโลกจริง การขโมยทรัพย์สินของผู้ใช้ หรือการขุดคีย์ส่วนตัวที่ได้รับการยืนยัน อย่างไรก็ตาม เนื่องจากช่องโหว่นี้เกี่ยวข้องโดยตรงกับกระบวนการยืนยันและการเซ็นธุรกรรม การอัปเดตแอปพลิเคชันจึงมีความสำคัญอย่างยิ่ง

ผู้ใช้ Ledger ควรตรวจสอบเวอร์ชันของแอปพลิเคชัน Ethereum ของอุปกรณ์ของตน และหากใช้เวอร์ชันเก่ากว่า ควรอัปเกรดเป็น 1.22.2 Ledger ยังแนะนำให้ผู้ใช้อัปเดตไม่เพียงแต่แอปพลิเคชัน Ethereum แต่ยังรวมถึงระบบปฏิบัติการของอุปกรณ์ แอปพลิเคชันอื่น ๆ และซอฟต์แวร์ไคลเอนต์ที่เกี่ยวข้องให้เป็นเวอร์ชันล่าสุดเสมอ

นอกจากนี้ ช่องโหว่นี้แตกต่างจากช่องโหว่ด้านความปลอดภัยอื่น ๆ ที่เคยรายงานในแอปพลิเคชันพื้นฐาน Zilliqa ของ Ledger และไม่มีความเกี่ยวข้องกับการโจมตีในปี 2023 ที่ Connect Kit

เนื้อหานี้จัดทำขึ้นเพื่อวัตถุประสงค์ด้านการให้ข้อมูลทั่วไปเท่านั้น และไม่ถือเป็นคำแนะนำด้านการเงิน การลงทุน กฎหมาย หรือภาษี อีเวนต์ รีวอร์ด โปรโมชันออนไลน์ หรือข้อมูลที่เกี่ยวข้องใดๆ ที่กล่าวถึงในที่นี้ ไม่ควรถือเป็นคำแนะนำ การชักชวน หรือคำเชิญชวนให้ซื้อ ขาย เทรด หรือดำเนินการอื่นใดเกี่ยวกับสินทรัพย์คริปโต สินทรัพย์คริปโตมีความผันผวนสูงและอาจส่งผลให้เกิดการขาดทุน ความพร้อมให้บริการของบริการ ผลิตภัณฑ์ และอีเวนต์ที่เกี่ยวข้องของ WEEX อาจแตกต่างกันไปตามภูมิภาค คุณมีหน้าที่ตรวจสอบให้แน่ใจว่าการเข้าร่วมของคุณเป็นไปตามกฎหมายและข้อบังคับท้องถิ่นที่ใช้บังคับ