Ledger nebyl hacknut, ale jeho Ethereum aplikace měla tři bezpečnostní chyby

OneKey skutečně zopakoval zranitelnost v Ledger Ethereum aplikaci 1.22.1, ale šlo o kontrolovaný laboratorní test se zastaralým softwarem. Ledger uvádí, že problém byl opraven už ve verzi 1.22.2, která vyšla před zveřejněním demonstrace, a že nemá důkazy o útocích proti svým uživatelům. 31731

Případ přesto upozornil na důležitou věc: bezpečnost hardwarové peněženky nestojí jen na izolaci privátních klíčů. Zařízení musí také věrně zobrazit transakci, kterou nakonec podepíše.

Co OneKey zopakoval

Zranitelnost označená Ledgerem jako LSB-023 souvisela s prokládáním příkazů během kontroly transakce přímo na zařízení. Počítač připojený k zařízení mohl odeslat nový APDU příkaz ještě ve chvíli, kdy předchozí příkaz čekal na odpověď uživatele. Protože parametry podpisu zůstávaly během této asynchronní kontroly ve sdíleném stavu, mohly se po zobrazení na displeji změnit, ale ještě před vytvořením podpisu. 3

V praxi to znamenalo riziko, že zařízení zobrazí transakci A, zatímco podepíše transakci B. Bezpečnostní tým OneKey Anzen toto chování zopakoval v laboratoři na zastaralé verzi 1.22.1. Výsledek potvrzuje zneužitelnost starého softwaru, nikoli kompromitaci produkčních systémů Ledgeru nebo jeho uživatelů. 172332

Ledger tvrdí, že problém odhalil vlastním bezpečnostním procesem a ochranná opatření nasadil ve verzi Ethereum aplikace 1.22.2. Podle dostupných zpráv byla základní příčina řešena také v Secure SDK 26.6.1. 172124

Byl někdo napaden?

Stanovisko Ledgeru bylo jednoznačné: „Žádný uživatel Ledgeru nebyl hacknut.“ Ve veřejně dostupných zprávách nejsou uvedeny ztráty spojené s demonstrací OneKey. Toto tvrzení je však třeba chápat jako informaci o dosud zjištěném zneužití, nikoli jako důkaz, že útok na zranitelnou verzi byl za všech okolností nemožný. 172031

Rozdíl je podstatný. Laboratorní reprodukce může potvrdit, že určitá zranitelná cesta funguje za potřebných podmínek, sama o sobě ale neprokazuje, že ji zločinci využili v reálném světě.

Dvě další chyby opravené ve verzi 1.22.3

Verze 1.22.3 řešila dvě další zranitelnosti Ethereum aplikace, které zůstaly relevantní i po aktualizaci na verzi 1.22.2. Bezpečnostní přehled Ledgeru je označuje jako LSB-024 a LSB-025. 46

LSB-024: velká dávka operací mohla skrýt její část

LSB-024 se týkala zpracování počtu operací při takzvaném clear signing, tedy přehledném schvalování údajů přímo na zařízení. Speciálně vytvořená dávka obsahující 257 operací mohla kvůli chybě v počítání způsobit, že zařízení zobrazilo pouze poslední operaci, přestože podepisovalo celou dávku.

Šlo o selhání integrity kontroly transakce. Uživatel sice mohl být stále vyzván k potvrzení, informace na displeji však úplně nepopisovaly data, která zařízení podepisovalo. Ledger chybu pojmenoval jako „Clear-signing bypass via array-count truncation“. 46

LSB-025: platbu při swapu mohl nahradit souhlas s tokenovým oprávněním

LSB-025 se týkala procesu směny kryptoměn. Kompromitovaný poskytovatel swapu mohl místo očekávané platby podstrčit schválení tokenového oprávnění, aniž by zařízení vyžádalo další potvrzení. Ledger chybu popisuje jako „Swap flow accepted a token approval in place of a payment“. 46

Důležité jsou i limity této chyby. Podle dostupných informací nešlo o způsob, jak vytvořit neomezené oprávnění nebo schválit libovolnou adresu vybranou útočníkem. Uživatel však mohl podepsat oprávnění, které schválit nechtěl, což je zásadně něco jiného než očekávaná platba při swapu. 46

Proč nebyly chyby LSB-024 a LSB-025 opraveny už ve verzi 1.22.2?

Veřejně dostupné podklady naznačují, že příslušné změny pro obě pozdější chyby byly připravené nebo sloučené už několik měsíců před vydáním verze 1.22.2. Přesto se opravy objevily až ve verzi 1.22.3. Přesný důvod tohoto rozdílu v nasazení zůstává ve veřejných materiálech nevysvětlený. 37

Nelze proto spolehlivě říct, zda šlo o priorizaci vydání, problém při integraci, nedostatečné testování, nebo jiné interní rozhodnutí. Jistý je užší závěr: opravy LSB-024 a LSB-025 nebyly součástí verze 1.22.2 a přesný důvod zpoždění nebyl veřejně doložen. Silnější tvrzení by přesahovala dostupné důkazy.

Co případ ukazuje o aktualizovatelném modelu Ledgeru

Ledger svou reakci postavil na argumentu, že aktualizovatelná architektura hardwarové peněženky umožňuje chyby v aplikacích zařízení a podpůrném softwaru opravit a distribuovat uživatelům. Bezpečnostní proces má v takovém modelu fungovat následovně: problém se odhalí, připraví se oprava, ta se vydá a následně se zveřejní technické podrobnosti. LSB-023 Ledger uvádí jako příklad tohoto postupu: zranitelnost byla podle něj odhalena interně, opravena a později popsána v bezpečnostním bulletinu. 3

Tento přístup má zřejmou výhodu: objevená softwarová chyba nemusí zůstat trvalou vlastností zařízení. Zároveň ale klade větší nároky na uživatele. Oprava chrání zařízení až poté, co je skutečně nainstalována, a opožděné nebo neúplné vydání může ponechat související problémy nevyřešené. Právě rozdíl mezi verzemi 1.22.2 a 1.22.3 tuto slabinu dobře ilustruje. 37

Co by měli uživatelé Ledgeru udělat

1. Aktualizujte Ethereum aplikaci alespoň na verzi 1.22.3. Verze 1.22.2 obsahovala opravu LSB-023, zatímco verze 1.22.3 řešila také LSB-024 a LSB-025. 1737
2. Aktualizace instalujte přes Ledger Live a oficiální distribuční kanály Ledgeru. Oficiální návod Ledgeru doporučuje instalaci Ethereum aplikace prostřednictvím Ledger Live. 7
3. Kontrolujte každou výzvu přímo na displeji zařízení, zejména při swapech. Pokud zařízení požaduje schválení tokenového oprávnění ve chvíli, kdy očekáváte platbu, operaci zastavte a odmítněte.
4. Buďte opatrní u neobvykle velkých nebo nepřehledných dávek operací. Pokud je to možné, vyhněte se slepému podepisování, při němž nelze celý obsah smysluplně zkontrolovat na zařízení.
5. Počítejte s tím, že připojený počítač, web, dApp i poskytovatel swapu mohou být součástí útočného scénáře. Hardwarová peněženka sice izoluje privátní klíče, ale neodstraňuje rizika spojená s malwarem, škodlivými stránkami, kompromitovanými dApps nebo poskytovateli služeb. 328
6. Prověřte tokenová oprávnění, pokud jste na zranitelné verzi prováděli swapy nebo schvalovali tokeny. Zbytečná oprávnění případně odvolejte přes důvěryhodný nástroj.

Bezprostřední závěr je jednoduchý: OneKey předvedl skutečnou chybu ve staré Ledger Ethereum aplikaci, dostupné důkazy však nepotvrzují probíhající hack uživatelů Ledgeru. Incident přesto není radno bagatelizovat. Chyby LSB-024 a LSB-025 ukázaly, že aktualizace na první dostupnou opravu nemusela znamenat konec celého bezpečnostního příběhu.