OneKey, 실험실에서 구버전 Ledger 이더리움 앱 거래 대체 취약점 재현

TechFlow, 8월 28일 코인텔레그래프 보도에 따르면 오픈소스 지갑 제공업체인 OneKey는 자체 보안팀이 실험실 환경에서 구형 Ledger 이더리움 앱 1.22.1을 대상으로 한 '거래 치환 공격'을 성공적으로 재현했다고 밝혔다. 이 취약점은 사용자가 정상 거래를 검토하는 도중 서명 대기 중인 거래가 교체될 수 있으나, 악용 조건으로는 악성 소프트웨어, 감염된 지갑 프로그램 또는 악성 웹사이트를 통해 기기와 호스트 간 통신을 제어해야 한다.

레저 측은 8월 13일 출시된 이더리움 앱 1.22.2에 애플리케이션 수준의 보호 조치가 적용되었으며, 8월 21일 시큐어 SDK 26.6.1에서 하부 문제를 해결했다고 전했다. 레저는 이번 사례가 실험실 환경에서 재현된 데 그쳐 사용자 자금 손상은 발생하지 않았다고 강조했다. 본 취약점은 과거 콜드카드의 시드 무작위성 문제와는 관련이 없으며, 주로 거래 서명 처리 절차에 영향을 미치는 것으로 파악된다.