OneKey a reproduit en laboratoire la vulnérabilité de remplacement de transaction de l'ancienne version de l'application Ethereum de Ledger

TechFlow rapporte que, selon Cointelegraph, OneKey, éditeur de portefeuilles open-source, a indiqué que son équipe de sécurité a réussi à reproduire en environnement de laboratoire une « attaque par remplacement de transaction » visant l'application Ethereum Ledger 1.22.1. Cette vulnérabilité pourrait permettre à un attaquant de substituer des transactions en attente de signature pendant la vérification de transactions standards, à condition de contrôler les communications entre l'appareil et l'hôte, par exemple via un logiciel malveillant, un portefeuille compromis ou une page web malveillante.

Ledger précise qu'une protection au niveau applicatif a été intégrée dans la version 1.22.2 de l'application Ethereum publiée le 13 août, et que le problème sous-jacent a été corrigé dans le Secure SDK 26.6.1 le 21 août. Ledger souligne que cette reproduction réalisée en laboratoire n'a causé aucune perte de fonds aux utilisateurs. Cette vulnérabilité est sans lien avec le récent incident lié à l'aléatoire des graines (seeds) chez Coldcard et affecte principalement la gestion du processus de signature des transactions.