Ứng dụng Ethereum(ETH) 1.22.1 của Ledger lộ lỗ hổng ký giao dịch sai

Ứng dụng Ledger(Ledger) Ethereum(ETH) phiên bản 1.22.1 vừa bị phát hiện tồn tại lỗ hổng bảo mật khiến giao dịch hiển thị trên màn hình xác nhận của người dùng có thể khác với giao dịch thực sự được ký.

Decrypt đưa tin OneKey đã tái hiện thành công cuộc tấn công khiến ứng dụng Ledger Ethereum(ETH) 1.22.1 ký một giao dịch khác với giao dịch hiển thị trên thiết bị. Trong thông báo bảo mật, Ledger cho biết nếu một lệnh APDU mới được xử lý trước khi quá trình rà soát màn hình hoàn tất, các tham số ký có thể bị thay đổi.

Ledger giải thích đây không phải lỗi riêng của một ứng dụng, mà là dạng lỗ hổng liên quan đến quy trình xử lý lệnh trong Ledger Security SDK. Ứng dụng Ethereum(ETH) phiên bản 1.22.2 được phát hành ngày 13, áp dụng cơ chế kiểm tra trạng thái ở cấp ứng dụng, còn bản vá chung được triển khai vào ngày 21 thông qua Ledger Security SDK v26.6.1.

Ledger khẳng định chưa ghi nhận trường hợp người dùng nào bị thiệt hại do lỗ hổng này. Công ty khuyến nghị người dùng cập nhật ứng dụng qua Ledger Live, đồng thời lưu ý rằng chỉ cập nhật firmware thôi không đồng nghĩa ứng dụng bị ảnh hưởng đã được thay thế, nên người dùng cần tự kiểm tra phiên bản ứng dụng ngay trên thiết bị.