Ledger-dəki nasazlıq, göstərilənə bənzəməyən Ethereum əməliyyatını imzalamağa imkan verə bilər

• Ledger-dəki Ethereum tətbiqinin 1.22.2 versiyası problemi həll edir.
• "Tətbiqlərinizi güncəllədiyinizdə, qorunursunuz," deyir Ledger-dən Charles Guillemet.

Ledger-in hardware wallet-ında olan Ethereum tətbiqindəki bir zəiflik, bir cihazın istifadəçiyə bir əməliyyatı göstərərkən, fərqli birini imzalamağa imkan verirdi.

Problem 2026-cı il avqustun 21-də TestMachine komandası tərəfindən bildirilib, bu, tətbiqin müstəqil skan edilməsi zamanı aşkar edilib və Ledger Flex cihazında təsdiqlənib.

TestMachine-ə görə, HƏR Ledger Ethereum tətbiqini işlədən cihaz imza əvəzlənməsinə qarşı həssasdır. Hücum, zərərli bir mərkəzləşdirilməmiş tətbiqin WebHID-ə (bu, bir dApp-in brauzerdən birbaşa Ledger cihazı ilə əlaqə qurmasına və imza zamanı ona əmrlər göndərməsinə imkan verən texnologiyadır) giriş əldə etdiyi zaman baş verə bilər.

Bir əməliyyatın nəzərdən keçirilməsi zamanı, hücum edən şəxs, sonunda imzalanacaq əməliyyatı əvəz etmək üçün əmrlər göndərə bilər, istifadəçinin cihazın ekranında gördüyünü dəyişdirmədən.

Məsələn, TestMachine, istifadəçinin mərkəzləşdirilməmiş bir tətbiqdən 0,01 ETH-ni başqa bir ünvana göndərməyə başladığı bir ssenarini təsvir edir. Ledger, nəzərdən keçirilmə zamanı bu əməliyyatı göstərir və istifadəçi onu təsdiqləyə bilər. Ancaq Ledger, hücumçunun maksimum DAI (nümunə üçün istifadə olunan token) xərcləməsinə icazə verən bir icazəni imzalamağa başlaya bilər.

Səbəb, TestMachine tərəfindən yayımlanan izahata görə, nəzərdən keçirmə interfeysi açıq olduğu müddətdə əmrlərin idarə edilməsi ilə bağlıdır.

TestMachine, problemin Nano X, Nano S Plus, Stax və Apex cihazlarında mövcud olduğunu qeyd edir. Araşdırma, yayımlanan məlumatlara görə, Ledger komandası ilə paylaşılmış və təsdiqlənmişdir.

GitHub-da dəyişiklik tarixçəsi, Ledger-in 2026-cı il avqustun 12-də tarixli 1.22.2 versiyasında, təhlükəsizlik problemləri kimi ümumi olaraq tanınan düzəlişlər daxil etdiyini göstərir.

Dəyişikliklər arasında təsvir olunan nasazlıqla birbaşa əlaqəli tədbirlər var, məsələn, nəzərdən keçirilmə gözlənilərkən alınan imza əmrlərini rədd etmək, əməliyyatın başlanğıcında müəyyən edilmiş imza rejimini təyin etmək və imzanın davam edən hissələri zamanı dəyişiklikləri rədd etmək.

Eyni zamanda, imza təsdiq funksiyalarında tətbiqin vəziyyətinin yoxlanılması və müxtəlif əməliyyatlarda eyni vaxtda axınlara qarşı qorunmalar əlavə edildi.

TestMachine, düzəlişin həqiqətən Ethereum tətbiqi 1.22.2-yə aid olduğunu bildirdi və patch mövcud olduqda Ledger Live vasitəsilə güncəlləməyi tövsiyə etdi.

Ancaq, bu təhlükəsizlik şirkətinin verdiyi məlumata görə, düzəldilmiş versiya hələ də Ledger Live-dan yüklənmək üçün mövcud deyil, buna görə təhlükə hələ də mövcuddur.

Aşkar olunan zəifliyin mənşəyi və patch-in cari vəziyyəti araşdırma şirkəti ilə istehsalçı arasında ziddiyyətli versiyalar yaratmışdır. TestMachine, zəifliyi müstəqil Azimuth skaneri vasitəsilə aşkar etdiyini və Ethereum tətbiqinin 1.22.2 versiyasına güncəlləməyi tövsiyə etdi.

Öz növbəsində, Ledger-in texnologiya direktoru (CTO) Charles Guillemet, səhvin bəzi açıq imza axınlarına (clear signing) təsir etdiyini bildirdi, lakin bunun artıq iki həftə əvvəl Ledger Donjon, şirkətin daxili təhlükəsizlik komandası tərəfindən süni intellekt alətləri istifadə edilərək aşkar edildiyini və düzəldildiyini təsdiqlədi. Guillemet, patch-in artıq effektiv şəkildə yayımlandığını və istifadəçilər üçün mövcud olduğunu bildirdi.

Tətbiqlərinizi güncəllədiyinizdə, qorunursunuz. Bu, bütün hekayədir, deyə Guillemet X-dəki rəsmi hesabında qeyd etdi.

İcraçı, araşdırma şirkətinin açıqlama praktikaları ilə bağlı davranışını da sual etdi: Bu şirkət, patch artıq göndərildikdən sonra bizim mükafat proqramımızla əlaqə saxladı və məsuliyyətli bir açıqlama izləmədilər; əslində, heç vaxt mükafat proqramı komandası ilə danışmadılar. Sonra, problemin həll olunmadığını bildirmək üçün bir ipucu yayımladılar.

Ziddiyyətli versiyalar qarşısında, Ledger istifadəçiləri üçün, bu cihazlarla əməliyyatlara davam etməzdən əvvəl, 1.22.2 versiyasının düzgün şəkildə quraşdırıldığını yoxlamaq faydalı ola bilər.

Bu cür məsələlər, iyulun sonlarında baş verən Coldcard hardware wallet-larının hacklənməsi nəticəsində 2.000-dən çox bitcoin (BTC) oğurlanması ilə nəticələnən hadisədən sonra xüsusi əhəmiyyət kəsb edir, CriptoNoticias-ın bildirdiyi kimi.

Bu məzmun yalnız ümumi məlumat məqsədilə təqdim olunur və maliyyə, investisiya, hüquqi və ya vergi məsləhəti hesab edilməməlidir. Burada qeyd olunan hər hansı tədbir, mükafat, onlayn kampaniya və ya əlaqəli məlumat hər hansı kriptoaktivin alınması, satılması, treydinqi və ya digər əməliyyatların aparılması üçün tövsiyə, təşviq və ya dəvət kimi qiymətləndirilməməlidir. Kriptoaktivlər yüksək dəyişkənliyə malikdir və maliyyə itkisinə səbəb ola bilər. WEEX-in xidmətləri, məhsulları və əlaqəli tədbirlərinin əlçatanlığı regiondan asılı olaraq dəyişə bilər. İştirakınızın yerli qanunvericilik və tənzimləyici tələblərə uyğun olmasını təmin etmək sizin məsuliyyətinizdir.