Nachricht aus Laborumgebung: Reproduktion einer Schwachstelle
Das Open‑Source‑Walletunternehmen OneKey hat in seiner internen Sicherheitsumgebung eine Ausnutzung gegen eine veraltete Version der Ledger‑Ethereum‑App nachgestellt. Die Untersuchung zielte auf die Version 1.22.1 der auf dem Gerät installierten App.
OneKey‑Gründer und CEO Yishi Wang erklärte, das Team habe einen sogenannten „transaction replacement attack“ reproduziert, bei dem ein Angreifer eine wartende Transaktion überschreibt, während der Anwender noch die angeblich legitime Transaktion auf dem Gerät prüft.
Ledger: Bedingte Ausnutzbarkeit und behobene Schutzmechanismen
Ledger betonte, dass die Ausnutzbarkeit voraussetzt, dass Angreifer die Kommunikationskanäle zwischen Gerät und Host kontrollieren, etwa durch Malware, kompromittierte Wallet‑Software oder eine bösartige Webseite. Zudem wies das Unternehmen darauf hin, dass kein Ledger‑Nutzer durch diesen Laborbefund gehackt worden sei.
Als Reaktion hat Ledger in der Ethereum‑App mit der Version 1.22.2 App‑Ebene‑Schutzmaßnahmen implementiert; diese Version wurde am 13. August veröffentlicht. Die zugrunde liegende Problematik wurde anschließend im Secure SDK in Version 26.6.1 behoben, die am 21. August freigegeben wurde.
Abgrenzung zu anderen Vorfällen
Die von OneKey reproduzierte Schwachstelle betrifft die Handhabung von Transaktionen im Signaturprozess und steht nicht im Zusammenhang mit der Erzeugung von Wiederherstellungsphrasen. Ledger hatte bereits erklärt, dass seine Geräte von einem zuvor bekanntgewordenen Coldcard‑Problem nicht betroffen waren, das die Zufallsquelle bei der Seed‑Erzeugung betraf.
Der aktuelle Testbericht reiht sich in eine Reihe von Untersuchungen ein, die sich mit Sicherheitsfehlern in Hardware‑Wallets beschäftigt haben. Ein ähnlicher Vorfall mit Coldcard betraf eine Firmware‑Schwachstelle, die bereits im Juli bekannt wurde und die Seed‑Randomness beeinträchtigte.
Ledger und OneKey kommunizieren, dass die hier gezeigte Reproduktion in einem Laborumfeld stattfand und keine Nutzergelder kompromittiert wurden. Anwender sollten dennoch prüfen, ob ihre Geräte und die zugehörigen Apps aktuell sind.
Wesentliche Punkte zur Risikoeinschätzung und Gegenmaßnahmen:
- Die Ausnutzbarkeit erfordert Kontrolle über die Kommunikation zwischen Gerät und Host.
- Ledger veröffentlichte App‑Ebene‑Schutzmaßnahmen in Ethereum‑App 1.22.2.
- Der zugrunde liegende Fehler wurde im Secure SDK 26.6.1 adressiert.
- Keine bestätigten Verluste von Nutzerfonds durch diesen Laborbefund.
