الإجاباتمنشور19 المصادر
ثغرات Ledger في تطبيق Ethereum: إعادة إنتاج OneKey والإصلاحات المطلوبة
كشفت Ledger في أغسطس 2026 عن ثلاث ثغرات في تطبيق Ethereum، لكنها لم تكن اختراقًا للمفاتيح الخاصة أو لنظام تشغيل الأجهزة، وتقول الشركة إنها لم تجد دليلًا على استغلال المستخدمين. أعاد فريق Anzen التابع لـ OneKey إنتاج خلل LSB 023 في الإصدار القديم 1.22.1 داخل اختبار مخبري خاضع للرقابة.
نشر بواسطةتم التحرير باستخدام GPT-5.6 Lunaتم إنشاء الصور باستخدام GPT Image 1.5
إجابة البحث
الوجبات السريعة الرئيسية
- كشفت Ledger في أغسطس 2026 عن ثلاث ثغرات في تطبيق Ethereum، لكنها لم تكن اختراقًا للمفاتيح الخاصة أو لنظام تشغيل الأجهزة، وتقول الشركة إنها لم تجد دليلًا على استغلال المستخدمين.
- أعاد فريق Anzen التابع لـ OneKey إنتاج خلل LSB 023 في الإصدار القديم 1.22.1 داخل اختبار مخبري خاضع للرقابة.
- كان LSB 024 قادرًا على إخفاء عمليات ضمن دفعة توقيع واضحة مكوّنة من 257 عملية، بينما سمح LSB 025، ضمن شروط ضيقة، باستبدال دفعة swap بالموافقة على رمز مميز.
موجّه الذكاء الاصطناعي
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
تعلقت حلقة Ledger الأمنية في أغسطس 2026 بثلاث ثغرات في تطبيق Ethereum المستخدم على أجهزة الشركة. وقد أثرت هذه العيوب في طريقة تحليل معاملات Ethereum وعمليات المبادلة (swap) وعرضها والموافقة عليها، لا في استخراج المفاتيح الخاصة للمستخدمين أو اختراق نظام تشغيل Ledger. وتقول الشركة إنها لم تجد دليلًا على اختراق أي مستخدم أو استغلال الثغرات فعليًا. 35
38
أما الإجراء العملي الأهم فهو واضح: حدّث تطبيق Ethereum عبر Ledger Live إلى الإصدار 1.22.3 أو أحدث، ثم افتح التطبيق على جهاز Ledger نفسه وتحقق من رقم الإصدار المثبت. 35
ماذا أعاد OneKey إنتاجه؟
أعاد فريق Anzen الأمني التابع لـ OneKey إنتاج الثغرة LSB-023، وهي حالة سباق قد تسمح باستبدال معاملة، وذلك ضد الإصدار 1.22.1 من تطبيق Ethereum في اختبار مخبري خاضع للرقابة. تمثلت المشكلة في قدرة الجهاز على قبول أمر APDU جديد بينما كان أمر سابق لا يزال ينتظر رد المستخدم. وبما أن بيانات المعاملة بقيت في حالة مشتركة أثناء مراجعتها على الشاشة، كان من الممكن أن تختلف المعلمات المعروضة للمستخدم عن المعلمات التي يوقّعها الجهاز في النهاية. 2
عمليًا، كان يمكن لمهاجم يسيطر على مسار الاتصال بين الحاسوب المضيف وجهاز Ledger أن يحاول استبدال معاملة معلّقة بعد ظهور المعاملة الأصلية على شاشة الجهاز. لكن السيناريو يتطلب بيئة مضيفة مخترقة، مثل برمجية خبيثة أو تطبيق محفظة يملك وصولًا إلى الجهاز، كما كان يتطلب موافقة المستخدم على الإشعار الظاهر في Ledger. ولم تكن هذه الثغرة هجومًا لاستخراج العبارة السرية أو المفاتيح الخاصة. 21
27
اعترضت Ledger على وصف الواقعة بأنها اختراق جديد قائم في ذلك الوقت. وقالت إن المشكلة عولجت بالفعل في الإصدار 1.22.2 من تطبيق Ethereum، الذي صدر في 13 أغسطس، أي قبل العرض العلني الذي قدمته OneKey. كما حددت الشركة إجراءً أوسع للتخفيف من الخلل في Secure SDK الإصدار 26.6.1. 22
35
الثغرتان الإضافيتان في تطبيق Ethereum
LSB-024: دفعة من 257 عملية قد تظهر بصورة غير مكتملة
أثرت الثغرة LSB-024 في طريقة تعامل تطبيق Ethereum مع المصفوفات أثناء ما يسمى بالتوقيع الواضح (clear signing)، حيث يعرض الجهاز تفاصيل العملية للمستخدم قبل التوقيع. كان المحلل يقرأ عدد العمليات كقيمة من 16 بت، لكنه يخزن العدد المتبقي في حقل من 8 بتات. ومع دفعة تتكون من 257 عملية، كان العدد قد يلتف بحيث يعرض الجهاز العملية الأخيرة فقط، رغم أن التوقيع يشمل الدفعة كاملة. 37
ولا يعني ذلك وجود هجوم عام يستهدف كل معاملات Ethereum. فقد تطلب السيناريو الموصوف جهازًا مضيفًا مخترقًا، ووصفًا للتوقيع الواضح يكرر بيانات يتحكم بها المهاجم، وعقدًا ذكيًا قادرًا على قبول دفعة تتجاوز 255 عملية وتنفيذها. أصلحت Ledger المشكلة في الإصدار 1.22.3 من تطبيق Ethereum. 37
LSB-025: تحويل دفعة swap إلى موافقة على رمز مميز
أثرت الثغرة LSB-025 في مسار محدد لعمليات المبادلة يتضمن تطبيق Exchange. كان تطبيق Ethereum يتحقق من عنوان الوجهة والكمية المتوقعة لعملية المبادلة، لكنه لم يتحقق من أن العملية هي فعلًا تحويل لرمز مميز، وليس موافقة ERC-20. ونتيجة لذلك، كان بإمكان مزود خدمة مبادلة خبيث أو مخترق إرسال موافقة تطابق الأصل والكمية وعنوان المزود المتوقع، ثم الحصول على توقيعها من دون مطالبة ثانية على الجهاز. 34
لكن نطاق الخلل كان محدودًا. فقد كانت الموافقة مرتبطة بعنوان مزود المبادلة الذي جرى التحقق منه مسبقًا وبالكمية المتوقعة، لا بعنوان يختاره المهاجم بحرية أو بسماحية غير محدودة. وكان يلزم تنفيذ معاملة منفصلة لاحقًا لنقل الرموز التي تمت الموافقة عليها، كما أن دفعة المبادلة المتوقعة لم تكن لتصل؛ وبالتالي كانت عملية المبادلة ستفشل بدلًا من أن تكتمل بصورة طبيعية. ولم يؤثر الخلل في عمليات الموافقة العادية خارج مسار المبادلة. أصلحت Ledger الثغرة LSB-025 في الإصدار 1.22.3. 34
ماذا تقول هذه الحادثة عن أمان المحافظ المادية؟
تستطيع المحفظة المادية عزل المفاتيح الخاصة، لكنها قد تظل عرضة لعيوب على مستوى التطبيقات، مثل تحليل المعاملات أو منطق العرض أو آلية تسليم البيانات بين البرنامج المتصل والجهاز. وقد تركزت حالات Ledger هذه على سؤال جوهري: هل يعرض الجهاز العملية نفسها التي يتحقق منها ويوقعها فعلًا؟
وهذا يوضح أهمية قابلية التحديث. فالعنصر الآمن وعزل المفاتيح يظلان من وسائل الحماية الأساسية، لكنهما لا يمنعان بالضرورة وجود أخطاء في تطبيقات سلاسل الكتل الفردية. وأكدت Ledger أن نموذج الأمان يشمل تحديث التطبيقات، وتقوية حزمة Secure SDK، والمراجعة الأمنية المستمرة، وأبحاث اكتشاف الثغرات. 27
38
سؤال لم يُحسم بشأن توقيت الإصدارات
تثير الإفصاحات أيضًا مسألة تتعلق بإدارة الإصدارات. فالسجل المتاح لنشرات Ledger الأمنية يحدد إصلاحات LSB-024 وLSB-025 بصورة منفصلة عن إصدار 1.22.3 اللاحق، لكن المواد المنشورة هنا لا تشرح الفاصل الزمني بين تجهيز الإصلاحات وإتاحتها للمستخدمين. 5
34
37
وتبقى مسألة التوقيت منفصلة عن قابلية استغلال الثغرات. فهي لا تثبت تعرض المستخدمين للاختراق، لكنها مهمة عند تقييم سرعة وصول التحديثات الأمنية إلى مستخدمي المحافظ المادية.
ماذا ينبغي على مستخدمي Ledger أن يفعلوا الآن؟
- افتح تطبيق Ledger Live وحدّث تطبيق Ethereum إلى الإصدار 1.22.3 أو أحدث.
- افتح تطبيق Ethereum على جهاز Ledger الفعلي.
- تحقق من رقم الإصدار الظاهر على الجهاز نفسه.
- واصل مراجعة تفاصيل المعاملات بعناية على شاشة الجهاز قبل الموافقة عليها.
ولا يكفي تحديث البرنامج الثابت للجهاز وحده للتأكد من استبدال تطبيق Ethereum المتأثر. فالحماية المطلوبة هنا مرتبطة بإصدار تطبيق Ethereum المثبت على جهاز Ledger. 35
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
يسأل الناس أيضا
ما هي الإجابة المختصرة على "ثغرات Ledger في تطبيق Ethereum: إعادة إنتاج OneKey والإصلاحات المطلوبة"؟
كشفت Ledger في أغسطس 2026 عن ثلاث ثغرات في تطبيق Ethereum، لكنها لم تكن اختراقًا للمفاتيح الخاصة أو لنظام تشغيل الأجهزة، وتقول الشركة إنها لم تجد دليلًا على استغلال المستخدمين.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
كشفت Ledger في أغسطس 2026 عن ثلاث ثغرات في تطبيق Ethereum، لكنها لم تكن اختراقًا للمفاتيح الخاصة أو لنظام تشغيل الأجهزة، وتقول الشركة إنها لم تجد دليلًا على استغلال المستخدمين. أعاد فريق Anzen التابع لـ OneKey إنتاج خلل LSB 023 في الإصدار القديم 1.22.1 داخل اختبار مخبري خاضع للرقابة.
ماذا يجب أن أفعل بعد ذلك في الممارسة العملية؟
كان LSB 024 قادرًا على إخفاء عمليات ضمن دفعة توقيع واضحة مكوّنة من 257 عملية، بينما سمح LSB 025، ضمن شروط ضيقة، باستبدال دفعة swap بالموافقة على رمز مميز.
المصادر
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...