Ledger устранила уязвимость в Ethereum-приложении

Компания Ledger успешно исправила уязвимость, связанную с прозрачным подписанием транзакций в приложении Ethereum. Об этом сообщил технический директор компании Шарль Гийме. Уязвимость была обнаружена подразделением Donjon с использованием ИИ-инструментов для поиска уязвимостей. Исправление было внедрено в новой версии приложения 1.22.2.

Гийме отметил, что пользователи, применяющие актуальные патчи прошивки и приложений, уже полностью защищены. Проблема касалась обработки потоков в APDU-командах приложения Ethereum, что могло позволить вредоносному смарт-контракту подменить данные транзакции в момент подписания. Это могло привести к ситуации, когда пользователь думал, что подтверждает небольшой перевод, в то время как на самом деле предоставлял неограниченный доступ для злоумышленника.

Гийме также раскритиковал публичное раскрытие уязвимости, указав, что внешняя компания обратилась за вознаграждением только после выпуска исправления и не обсудила проблему с командой перед публикацией, что могло создать ложное впечатление о том, что уязвимость не была устранена. В то же время, 13 августа производитель аппаратных кошельков Trezor сообщил о взломе своего логистического партнера ShipMonk, в результате чего были украдены персональные данные 13 689 пользователей.