Ledger漏洞可能导致签署与显示不同的以太坊交易
- Ledger上的以太坊应用程序版本1.22.2解决了该问题。
- Ledger的Charles Guillemet表示:“如果你保持应用程序更新,你就会受到保护。”
Ledger硬件钱包的以太坊应用程序存在一个漏洞,允许设备在用户签署一笔交易时显示另一笔不同的交易。
该问题于2026年8月21日由TestMachine团队报告,指出该漏洞是在对应用程序进行自主扫描时发现的,并在Ledger Flex设备上进行了验证。
根据TestMachine的说法,运行以太坊应用程序的每个Ledger都容易受到签名替换的攻击。当恶意的去中心化应用程序访问WebHID(这是一种允许dApp通过浏览器直接与Ledger设备通信并在签署期间发送命令的技术)时,攻击可能发生。
在审核交易期间,攻击者可以发送命令来替换最终将被签署的操作,而不修改用户在设备屏幕上看到的内容。
作为例子,TestMachine描述了一个场景,用户从去中心化应用程序启动将0.01 ETH发送到另一个地址的操作。Ledger在审核期间显示该操作,用户可以批准它。然而,Ledger可能最终签署一项授权,允许攻击者支出最大数量的DAI(这是示例中使用的代币)。
根据TestMachine发布的解释,原因与在审核界面保持打开状态时命令的管理有关。
TestMachine指出,该问题存在于Nano X、Nano S Plus、Stax和Apex设备中。根据发布的信息,该研究已与Ledger团队共享并得到验证。
GitHub上的变更历史显示,Ledger在2026年8月12日发布的版本1.22.2中,包含了被普遍识别为安全问题的修复。
变更中包括与描述的漏洞直接相关的措施,如在审核待定时拒绝接收的签名命令,固定操作开始时设定的签名模式,以及在签名的后续片段中拒绝更改。
还在签名批准功能中添加了应用程序状态的验证,以及对不同操作中并发流的保护。
TestMachine表示,确实,修复对应于以太坊应用程序1.22.2,并建议在补丁可用后通过Ledger Live进行更新。
然而,根据该安全公司的信息,修复版本仍未在Ledger Live上提供下载,因此危险仍然存在。
发现的来源和补丁的当前状态在研究公司和制造商之间产生了不同的说法。TestMachine声称通过其自主扫描工具Azimuth检测到了该漏洞,并建议更新到以太坊应用程序的1.22.2版本。
Ledger的首席技术官(CTO)Charles Guillemet表示,该错误影响了某些清晰签名流(clear signing),但他保证该问题已在两周前由Ledger内部安全团队Ledger Donjon识别并修复,使用了人工智能工具。Guillemet指出,补丁确实已经部署并可供用户使用。
**如果你保持应用程序更新,你就会受到保护。这就是全部故事,**Guillemet在他的X官方账户上表示。
这位高管还质疑研究公司的披露行为:该公司在补丁已发送后才联系了我们的奖励计划,并没有遵循负责任的披露;事实上,他们从未与奖励计划团队交谈。然后他们发布了一条线程,暗示问题尚未解决。
面对矛盾的说法,Ledger用户在继续使用这些设备进行操作之前,确认版本1.22.2是否已正确安装可能会有所帮助。
在7月底发生的Coldcard硬件钱包被黑事件后,这类问题显得尤为重要,该事件导致超过2000个比特币(BTC)被盗,正如CriptoNoticias所报道的那样。
-- 价格
本内容仅供参考,不构成任何金融、投资、法律或税务建议。文中提及的任何活动、奖励、线上活动或相关信息,不应被视为对购买、出售或交易任何加密资产的推荐、招揽或邀请。加密资产具有高波动性,存在价值损失风险。WEEX服务、产品及相关活动的可用性可能因地区而异。用户在参与前有责任确保符合当地适用法律法规。
猜你喜欢

«我差点失去一半的比特币(而Kimi K3拯救了我)»: Ledger用户

Armbian 26.8 重写了安装程序并扩展了对 ARM 和 RISC-V 板的支持

英伟达发布 Jetson Orin Nano 2,推理性能提升一倍

华尔街早报:中东降温与AI反弹助推美股,英伟达能否打破放榜必跌魔咒?

Ledger钱包漏洞;用户需将以太坊应用更新至1.22.2版本

6GW核电项目,纳米核能与蒂尔曼达成非约束性协议

AI竞争三大支柱重组,开放权重成本压力加大

Token 杀死了 AI 应用

什么是 XRP 钱包?存储 XRP 的最佳钱包(2026 更新)
XRP 钱包让您可以安全地存储、发送和接收 XRP 在 XRP 账本上。了解哪些钱包支持 XRP,并发现适合初学者和长期持有者的最佳 XRP 钱包,2026 年。

西班牙人队对阵巴塞罗那队:一场激烈而高质量的德比大战
西班牙人队与巴塞罗那队的德比战奉献了一场高强度的足球比赛,巴萨最终以 4-1 获胜,在西甲联赛积分榜上领先第二名 9 分。拉明·亚马尔的精彩表现,费兰·托雷斯的梅开二度,以及一场激情四溢的同城德比大战的全面展现。WEEX,西甲联赛在香港和台湾的官方区域合作伙伴,共同庆祝这项美丽的运动。

OpenAI 联创最新专访:关停 Sora 后,ChatGPT 的下一步是什么?

NanoVita 宣布将限量发售首批 Desci Nano Mask

NanoVita 宣布将于 4 月在 BNB Chain 启动 TGE

前SEC和CFTC官员呼吁采取更轻松的监管措施以吸引加密交易回流美国

Solana加密货币合作伙伴关系创下169.9百万交易记录

网络攻击:人工智能(AI)可能会动摇全球金融!

中国股市上市潮:人工智能和机器人公司引领上海和香港的首发

HKDAP有望将港元应用扩展至链上金融,HashKey研究员表示

NASA和SpaceX因龙飞船泄漏推迟Crew-13任务

Coinhouse收购Tilvest,巩固其在加密货币管理中的地位

Strive以1.43亿美元购买比特币,成为第五大持有者

“技术退居次要地位”:稳定币如何从储蓄转向日常支付

Fogo主网已停止运行46小时,尚无重启时间表

Circle在一周内发行了50亿USDC:加密市场再次期待山寨币季

比利时要求非法网站提供加密货币地址

银行盈利能力改善,但逾期警报仍在:最新财报的关键点

CME瞄准ETF:首个受FCA监管的多资产加密指数诞生

为何SEC的7500万美元加密货币方案与国会提供的交易并不相同

加密货币基金:一周内流入32亿美元,银行美洲自2025年10月以来未见如此情况







