OneKey воспроизвёл в лаборатории уязвимость замены транзакций в старой версии приложения Ethereum Ledger.

TechFlow, 28 августа. Согласно сообщению Cointelegraph, разработчик кошелька с открытым исходным кодом OneKey заявил, что его команда по безопасности успешно воспроизвела в лабораторных условиях «атаку подмены транзакций» против устаревшего приложения Ethereum для Ledger версии 1.22.1. Данная уязвимость может позволить злоумышленнику заменить транзакцию, ожидающую подписания, во время проверки пользователем стандартной операции, однако для её эксплуатации требуется контроль над каналом связи между устройством и хостом, что может быть достигнуто через вредоносное программное обеспечение, заражённый программный кошелёк или вредоносный веб-сайт.

В компании Ledger сообщили, что защита на уровне приложения была внедрена в обновление приложения Ethereum версии 1.22.2, выпущенное 13 августа, а базовая проблема устранена в Secure SDK 26.6.1 от 21 августа. В Ledger подчеркнули, что речь идёт исключительно о лабораторном воспроизведении, не приведшем к потере средств пользователей. Указанная уязвимость не связана с предыдущей проблемой случайности генерации сид-фразы Coldcard и в первую очередь затрагивает процесс обработки подписания транзакций.