ข้อบกพร่องใน Ledger อาจทำให้ลงนามธุรกรรม Ethereum ที่แตกต่างจากที่แสดง

• เวอร์ชัน 1.22.2 ของแอป Ethereum บน Ledger ได้เพิ่มการแก้ไขปัญหาแล้ว
• "หากคุณรักษาแอปพลิเคชันของคุณให้เป็นปัจจุบัน คุณจะได้รับการปกป้อง" กล่าวโดย Charles Guillemet จาก Ledger.

ช่องโหว่ในแอป Ethereum ของกระเป๋าเงินฮาร์ดแวร์ Ledger อนุญาตให้มีการแสดงธุรกรรมหนึ่งในขณะที่ลงนามในอีกธุรกรรมหนึ่งที่แตกต่างออกไป

ปัญหานี้ถูกแจ้งเมื่อวันที่ 21 สิงหาคม 2026 โดยทีม TestMachine ซึ่งระบุว่าพบในระหว่างการสแกนอิสระของแอปพลิเคชันและได้รับการตรวจสอบในอุปกรณ์ Ledger Flex.

ตามที่ TestMachine ระบุว่า Ledger ทุกเครื่องที่รันแอป Ethereum มีความเสี่ยงต่อการเปลี่ยนแปลงลายเซ็น การโจมตีอาจเกิดขึ้นเมื่อแอปพลิเคชันกระจายอำนาจที่เป็นอันตรายเข้าถึง WebHID (นี่คือเทคโนโลยีที่อนุญาตให้ dApp สื่อสารโดยตรงกับอุปกรณ์ Ledger จากเบราว์เซอร์และส่งคำสั่งในระหว่างการลงนาม).

ในระหว่างการตรวจสอบธุรกรรม ผู้โจมตีสามารถส่งคำสั่งเพื่อเปลี่ยนแปลงการดำเนินการที่ท้ายที่สุดจะถูกลงนาม โดยไม่เปลี่ยนสิ่งที่ผู้ใช้เห็นบนหน้าจอของอุปกรณ์.

เป็นตัวอย่าง TestMachine อธิบายสถานการณ์ที่ผู้ใช้เริ่มจากแอปพลิเคชันกระจายอำนาจการส่ง 0.01 ETH ไปยังที่อยู่อื่น Ledger แสดงการดำเนินการนั้นในระหว่างการตรวจสอบและผู้ใช้สามารถอนุมัติได้ อย่างไรก็ตาม Ledger อาจสิ้นสุดการลงนามในการอนุญาตที่อนุญาตให้ผู้โจมตีใช้จ่ายจำนวนสูงสุดของ DAI (ซึ่งเป็นโทเค็นที่ใช้ในตัวอย่าง).

สาเหตุ ตามคำอธิบายที่เผยแพร่โดย TestMachine เกี่ยวข้องกับการจัดการคำสั่งในขณะที่ส่วนติดต่อการตรวจสอบยังคงเปิดอยู่.

TestMachine ระบุว่า ปัญหานี้มีอยู่ในอุปกรณ์ Nano X, Nano S Plus, Stax และ Apex การวิจัยได้รับการแบ่งปันและตรวจสอบกับทีม Ledger ตามที่เผยแพร่.

ประวัติการเปลี่ยนแปลงใน GitHub แสดงว่า Ledger ได้รวมการแก้ไขในเวอร์ชัน 1.22.2 ซึ่งมีวันที่ 12 สิงหาคม 2026 ที่ระบุว่าเป็นปัญหาด้านความปลอดภัย.

ในบรรดาการเปลี่ยนแปลงมี มาตรการที่เกี่ยวข้องโดยตรงกับข้อบกพร่องที่อธิบายไว้ เช่น การปฏิเสธคำสั่งการลงนามที่ได้รับในขณะที่การตรวจสอบยังคงอยู่ การตั้งค่าโหมดการลงนามที่กำหนดไว้ในตอนเริ่มต้นของการดำเนินการ และการปฏิเสธการเปลี่ยนแปลงในระหว่างการดำเนินการต่อเนื่องของการลงนาม.

นอกจากนี้ยังมีการเพิ่มการตรวจสอบสถานะของแอปพลิเคชันในฟังก์ชันการอนุมัติการลงนามและการป้องกันต่อการไหลที่เกิดขึ้นพร้อมกันในหลายการดำเนินการ.

TestMachine ระบุว่า การแก้ไขนี้ตรงกับแอป Ethereum 1.22.2 และแนะนำให้ทำการอัปเดตผ่าน Ledger Live เมื่อแพตช์พร้อมใช้งาน.

อย่างไรก็ตาม ตามข้อมูลที่ให้โดยบริษัทความปลอดภัยนั้น เวอร์ชันที่แก้ไขยังไม่ปรากฏให้ดาวน์โหลดจาก Ledger Live ทำให้ยังคงมีอันตรายอยู่.

ต้นกำเนิดของการค้นพบและสถานะปัจจุบันของแพตช์ได้สร้าง ข้อมูลที่ขัดแย้งกันระหว่างบริษัทวิจัยและผู้ผลิต TestMachine ยืนยันว่าได้ตรวจพบช่องโหว่ผ่านสแกนเนอร์อิสระ Azimuth และแนะนำให้ทำการอัปเดตเป็นเวอร์ชัน 1.22.2 ของแอป Ethereum.

ในทางกลับกัน CTO ของ Ledger, Charles Guillemet กล่าวว่า ข้อผิดพลาดนี้มีผลกระทบต่อการไหลของการลงนามที่ชัดเจน (clear signing) แต่ยืนยันว่าได้ถูกระบุและแก้ไขโดยทีมความปลอดภัยภายในของ Ledger Donjon โดยใช้เครื่องมือปัญญาประดิษฐ์ Guillemet กล่าวว่าการแพตช์ได้ถูกปรับใช้และพร้อมใช้งานสำหรับผู้ใช้แล้ว.

หากคุณรักษาแอปพลิเคชันของคุณให้เป็นปัจจุบัน คุณจะได้รับการปกป้อง นั่นคือทั้งหมดที่มี กล่าวโดย Guillemet ในบัญชีทางการของเขาบน X.

ผู้บริหารยังตั้งคำถามถึงพฤติกรรมของบริษัทวิจัยเกี่ยวกับแนวทางการเปิดเผยข้อมูล: บริษัทนี้ติดต่อกับโปรแกรมรางวัลของเราเมื่อแพตช์ถูกส่งไปแล้วและไม่ได้ปฏิบัติตามการเปิดเผยข้อมูลอย่างรับผิดชอบ; ในความเป็นจริง พวกเขาไม่เคยพูดคุยกับทีมโปรแกรมรางวัลเลย จากนั้นพวกเขาได้เผยแพร่กระทู้ที่ทำให้เข้าใจว่าปัญหายังไม่ได้รับการแก้ไข.

เมื่อมีข้อมูลที่ขัดแย้งกัน อาจเป็นประโยชน์สำหรับผู้ใช้ Ledger ที่จะตรวจสอบว่าเวอร์ชัน 1.22.2 ได้ถูกติดตั้งอย่างถูกต้องก่อนที่จะดำเนินการทำธุรกรรมกับอุปกรณ์เหล่านี้.

ปัญหาประเภทนี้มีความสำคัญเป็นพิเศษหลังจากการแฮ็กกระเป๋าเงินฮาร์ดแวร์ Coldcard ที่เกิดขึ้นในปลายเดือนกรกฎาคมซึ่งส่งผลให้มีการโจรกรรมมากกว่า 2,000 bitcoin (BTC) ตามที่ CriptoNoticias รายงาน.

เนื้อหานี้จัดทำขึ้นเพื่อวัตถุประสงค์ด้านการให้ข้อมูลทั่วไปเท่านั้น และไม่ถือเป็นคำแนะนำด้านการเงิน การลงทุน กฎหมาย หรือภาษี อีเวนต์ รีวอร์ด โปรโมชันออนไลน์ หรือข้อมูลที่เกี่ยวข้องใดๆ ที่กล่าวถึงในที่นี้ ไม่ควรถือเป็นคำแนะนำ การชักชวน หรือคำเชิญชวนให้ซื้อ ขาย เทรด หรือดำเนินการอื่นใดเกี่ยวกับสินทรัพย์คริปโต สินทรัพย์คริปโตมีความผันผวนสูงและอาจส่งผลให้เกิดการขาดทุน ความพร้อมให้บริการของบริการ ผลิตภัณฑ์ และอีเวนต์ที่เกี่ยวข้องของ WEEX อาจแตกต่างกันไปตามภูมิภาค คุณมีหน้าที่ตรวจสอบให้แน่ใจว่าการเข้าร่วมของคุณเป็นไปตามกฎหมายและข้อบังคับท้องถิ่นที่ใช้บังคับ