在公开披露前，Ledger悄悄修复了以太坊钱包的关键漏洞

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

核心要点

8月12日，Ledger以太坊应用存在严重安全漏洞，通过1.22.2版本悄悄修复，但未公开披露。该漏洞属于竞态条件攻击，恶意应用可在签名过程中将合法交易替换为欺诈性交易。漏洞由Ledger自家Donjon安全团队利用人工智能工具率先发现。化名TestMachine的安全专家在8月21日至23日期间公开披露此漏洞，引发Ledger首席技术官Charles Guillemet批评其行为有博取关注之嫌。截至2026年8月24日，尚未有确凿的加密货币被盗事件与此次安全漏洞相关。

事件经过

2026年8月12日，Ledger悄悄为以太坊硬件钱包应用部署了一个安全补丁。此次更新发布的以太坊应用版本1.22.2，修复了一个严重的安全问题，但该问题在近两周内未向公众披露。

8月23日，Charles Guillemet在社交媒体上表示，市面上流传着一些关于Ledger签名器的谣言，由一家声称发现Ledger以太坊应用漏洞的“智能合约安全”公司推动。他指出，问题涉及某些明确的签名流程，已被Donjon团队利用其人工智能驱动的漏洞检测工具发现。

安全漏洞的核心是APDU命令处理过程中的竞态条件问题。APDU即应用协议数据单元，是计算机软件与Ledger硬件钱包内置安全元件之间通信的协议。该漏洞特别影响“明确签名”操作——即用户可在设备屏幕上查看可读的交易信息。恶意命令可同时执行，在用户确认前截获并替换原始交易，将其变为未经授权的交易。

在实际攻击场景中，受害者可能无意中批准了恶意交易，却以为自己授权的是正常操作。例如，看似一笔小额代币转账，实际上可能将无限额的代币授权给了攻击者的钱包地址。

发现与内部解决

Ledger旗下专属安全研究部门Donjon早在外部安全研究员报告之前，便通过内部审计流程发现了该漏洞。团队利用人工智能增强型安全分析工具进行了检测和修复。安全补丁以静默方式部署，未附带任何公开说明。补丁发布后约十天，未发布任何安全公告、公司博客文章或官方通知告知用户。

情况在8月21日至23日之间发生重大变化：安全研究员TestMachine独立发现并公开披露了该漏洞。TestMachine提供了技术细节，解释了竞态条件机制，并确认在Ledger Flex硬件设备上成功验证。据TestMachine称，共享代码库架构表明该漏洞可能影响多款Ledger产品，包括Nano X、Nano S Plus、Stax和Apex型号。该研究员声称已向Ledger通报其发现，但拒绝了公司的漏洞悬赏报酬。

双方说法不一

Ledger首席技术官Charles Guillemet表示，TestMachine是在安全补丁已经分发之后才联系Ledger的漏洞悬赏计划。据Guillemet称，该研究员在发布声明暗示漏洞仍未修复之前，未能与Ledger安全团队协调。Guillemet强调，安全修复在TestMachine公开披露前已运行约两周。他批评这种披露方式，认为其刻意煽动以吸引公众注意，而非优先考虑用户安全。

TestMachine则讲述了不同的情况：他声称独立发现并验证了该安全漏洞，随后向Ledger进行了适当通知。该研究员选择拒绝经济补偿，并继续进行公开披露。截至发稿时，尚未有全面漏洞利用演示显示成功从所有受影响的设备模型中提取资金。

Ledger的开源以太坊应用代码库显示，8月份有多项涉及安全性的提交，涉及签名状态管理和消息最终处理流程。但代码库记录并未明确将某一特定提交与此次漏洞直接关联。

用户建议

使用Ledger硬件钱包的用户应立即检查，确保设备固件以及以太坊应用版本为1.22.2或更高版本。仅更新Ledger Live桌面或移动应用，并不会自动更新物理硬件设备上已安装的应用。截至2026年8月24日，Ledger尚未启动任何用户补偿计划，也未发布与此漏洞相关的紧急安全协议。