OneKeyがLedger旧バージョンの取引置換攻撃を再現、Ledgerは脆弱性修正済みで被害者なしと発表

PANews 8月28日付の報道によると、Cointelegraphの報道として、オープンソースウォレットプロバイダーであるOneKeyは、実験環境でLedgerイーサリアムアプリの旧バージョンに対する攻撃の再現に成功し、以前に修正済みの脆弱性を悪用して「トランザクション置換攻撃」を実行し、ユーザーが正当なトランザクションを確認している間に署名待ちのトランザクション内容を上書きした。この脆弱性はLedgerイーサリアムアプリのバージョン1.22.1に影響する。Ledgerは8月13日にバージョン1.22.2をリリースしてアプリケーション層の保護を追加し、8月21日にはSecure SDK 26.6.1で基盤となる問題を修正した。Ledgerは「ハッキングされたユーザーはおらず、これは実験環境で旧バージョンの脆弱性を再現したものにすぎない」と強調した。今回のセキュリティテストはColdcardの脆弱性事案の直後に行われたが、Ledgerはこの脆弱性はニーモニック生成とは無関係であり、署名プロセスにおけるトランザクション処理の段階に影響するものだと述べた。