Ledgerウォレットの脆弱性；ユーザーはEthereumアプリをバージョン1.22.2に更新する必要があります

LedgerのハードウェアウォレットのEthereumアプリにセキュリティ脆弱性が特定され、特定の条件下で悪意のあるdAppがデバイスの画面に表示される内容とは異なるトランザクションに署名することを許可する可能性がありました。Ledgerはこの問題を解決するためにEthereumアプリのバージョン1.22.2をリリースし、ユーザーはできるだけ早くインストールする必要があります。

ミハンブロックチェーンの報告によると、この脆弱性は署名リクエストの同時管理方法に関連していました。攻撃シナリオでは、元のトランザクションの詳細がデバイスの画面に表示され続けましたが、2つ目のリクエストがそれをメモリ内で置き換え、最終的に異なるデータが署名のためにデバイスに送信される可能性がありました。

脆弱性はどのように機能していたのか？

セキュリティ会社TestMachineの報告によると、このバグを利用するにはWebHIDアクセスを持つdAppが必要でした。この機能は、一部のウェブアプリケーションがハードウェアデバイスと直接通信することを可能にします。

このシナリオでは、攻撃者はユーザーがトランザクションを確認しているときに2つ目の署名リクエストを送信することができました。このリクエストは新しい確認プロセスを開始することなく、以前のトランザクションデータをメモリ内で置き換えました。その結果、ユーザーは依然として元のトランザクション情報を画面で見ていましたが、確認オプションを選択すると置き換えられたデータに署名してしまうことになります。

TestMachineはまた、このシナリオをLedger Flex上で再現したと報告しています。

Ledgerは問題を解決するためにどのような変更を行ったのか？

Ledgerの公式コードに記録された変更は、攻撃を防ぐために2つのセキュリティコントロールが追加されたことを示しています。まず、アプリケーションはトランザクションの確認プロセスがアクティブなときに新しい署名リクエストを妨害することを許可しません。第二に、確認コマンドを受け取る際に、現在の署名プロセスの状態が確認され、期待される状態と一致しない場合、リクエストは拒否されます。

これらの修正は、8月12日にリリースされたEthereumアプリのバージョン1.22.2に適用されています。しかし、TestMachineはこのバージョンがまだ完全にユーザーに提供されていないと主張しています。

TestMachineによると、共通のコードを使用しているため、この欠陥はNano X、Nano S Plus、Stax、Apexモデルにも影響を与える可能性があります。バージョン1.22.2の公式ファイルには、これらのモデルがEthereumアプリのターゲットデバイスとして挙げられています。

Ledgerは、最初の脆弱なバージョンがどれであったかをまだ特定していません。そのため、以前のバージョンのいくつがこのバグを持っていたのかは不明です。

脆弱性の発見に関するLedgerとTestMachineの見解の相違

Ledgerの最高技術責任者チャールズ・ギユメ（Charles Guillemet）は、8月23日にLedger Donjonの内部セキュリティチームがTestMachineがバグバウンティプログラムに連絡する前にこのバグを特定していたと発表しました。

ギユメは、このチームが彼の発言の約2週間前に「透明署名」のいくつかのプロセスにおける問題を発見し、修正したと述べました。一方、TestMachineは、Azimuthシステムがこの脆弱性を特定し、その発見をLedgerと共有し、その正確性を確認したと述べています。

この脆弱性の発見に関する時期や方法に関する見解の相違にもかかわらず、両者はアプリケーションコード内の問題の存在と修正を確認しています。

なお、これまでのところ、この脆弱性を利用した実際の悪用事例、ユーザー資産の盗難、または秘密鍵の抽出は報告されていません。しかし、この欠陥はトランザクションの確認および署名プロセスに直接関連しているため、アプリケーションの更新は特に重要です。

Ledgerユーザーは、デバイスのEthereumアプリのバージョンを確認し、古いバージョンを使用している場合は1.22.2にアップグレードする必要があります。Ledgerはまた、ユーザーにEthereumアプリに加えて、デバイスのオペレーティングシステム、その他のアプリケーション、および関連するクライアントソフトウェアも常に最新バージョンに更新するよう推奨しています。

なお、この脆弱性は、以前にLedgerのZilliqaネイティブアプリで報告された別のセキュリティ欠陥とは異なり、2023年のConnect Kitへの攻撃とは関係ありません。

本コンテンツは、一般的な情報提供のみを目的としたものであり、金融、投資、法律、または税務に関する助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインキャンペーン、またはそれらに関連する情報は、暗号資産の購入、売却、取引、その他いかなる取引の推奨、勧誘、または招待とみなされるべきではありません。暗号資産は価格変動が非常に大きく、損失が発生する可能性があります。WEEXのサービス、プロダクト、および関連イベントの提供状況は、地域によって異なる場合があります。お客様は、ご自身の参加が適用される現地の法令を遵守していることを自ら確認する責任を負うものとします。