Ledger修复以太坊应用签名漏洞，解决清晰签名问题

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

Ledger以太坊应用漏洞修复与争议

根据项目公开的变更日志，Ledger于8月12日发布了以太坊应用1.22.2版本，修复了该应用处理交易审查时的一个漏洞。发现该漏洞的公司TestMachine表示，该漏洞可能允许恶意应用程序在用户批准交易时，将正在审批的交易替换为另一笔交易，而设备屏幕仍显示原始交易信息。

Ledger并未发布针对此修复的公开安全公告，且在其所有应用共享的代码库中，针对同一类型缺陷的类似修复仍处于未合并状态。

8月12日，Ledger为其以太坊硬件钱包应用发布了更新，修复了签名前用于审查交易的屏幕中存在的漏洞。AI驱动的智能合约安全公司TestMachine表示，其自动化扫描工具Azimuth发现了该漏洞：一个拥有与设备通信所需浏览器权限的恶意应用程序，可以在交易仍在屏幕等待审批时发送第二条命令，从而在不改变显示内容的情况下替换交易。

TestMachine声称在Ledger Flex设备上验证了该漏洞，并向Ledger报告，同时拒绝了Ledger提供的赏金。

Ledger首席技术官Charles Guillemet对此说法提出异议。他在X上发文称，Ledger内部安全团队Donjon使用自主研发的AI工具Cerberus独立发现并修复了同一漏洞，而TestMachine在补丁发布后才联系Ledger的赏金计划。“这不是安全研究，而是为了博取关注而制造恐慌。”

Guillemet的核心论点有据可查。确认修复的变更日志条目比TestMachine的公开帖子早约两周，且Ledger此前在4月宣布的Cerberus（被描述为以机器速度发现和修补漏洞的AI安全框架）也支持了他的说法——即Donjon在此漏洞出现前就已运行AI辅助工具。受影响代码涉及的设备包括Nano X、Nano S Plus、Stax、Apex和Flex。

Guillemet遗漏的部分

Ledger保留了一个自2018年以来的公开安全公告档案，专门用于此类披露。然而截至目前，该漏洞并未被收录进任何公告。档案中最近一条与以太坊相关的条目发布于2023年11月，涉及Ledger Live中一个不相关问题。该应用的变更日志中仅以“安全问题”一词概括，未提供更多细节。

第二个相关修复尚未发布。6月，一名Ledger工程师对共享代码库提交了修改，添加了一个锁机制，用于在用户仍在审查交易时拒绝第二条传入命令——这正是TestMachine所称缺失的机制。该修改尚未被确认为以太坊应用补丁中使用的确切修复方案，但针对的是同一弱点，合并后将可关闭Ledger其他应用（不仅限于以太坊）中的相同漏洞。要彻底解决该问题，需要完成三件事：应用补丁、公开公告以及共享代码库修复。目前仅完成了第一项。

涉事安全公司也有自身利益考量

TestMachine也并非毫无利益关联。该公司已筹集超过650万美元风险投资用于开发Azimuth及其他AI审计工具，而针对Ledger这样的大型钱包制造商公开披露漏洞，对于一家在拥挤市场中争夺关注度的年轻安全公司而言，也是一次营销机会。

无论双方立场如何，对于使用受影响设备的用户而言，实际操作建议并未改变。Guillemet本人的建议（也是能有效解决该漏洞的方案）归结为三点：

更新Ledger以太坊应用（1.22.2版本已包含修复）；同时更新设备固件，因为Ledger在该层也部署了部分安全措施；保持其他参与交易审批的软件处于最新版本，因为这是用户自动获取新修复的途径。

关于共享代码库修复是否会上线，以及Ledger是否计划在修复前公开说明，目前尚无定论。另外，一名Ledger用户声称在未签署交易的情况下损失了约230万ADA（约33.3万美元），但原因尚未确认，也未公开与以太坊应用漏洞相关联。