AnswersPublished19 sources
Ledger a chyby v Ethereum aplikaci: co ukázal test OneKey a co mají uživatelé udělat
Srpen 2026 přinesl odhalení tří chyb v Ethereum aplikaci Ledgeru, nikoli známý únik privátních klíčů nebo napadení firmwaru; Ledger tvrdí, že nemá důkazy o zneužití u uživatelů. Tým Anzen společnosti OneKey reprodukoval v laboratorních podmínkách zranitelnost LSB 023 ve starší verzi aplikace 1.22.1.
PublikovalUpraveno pomocí GPT-5.6 LunaObrázky vytvořeny pomocí GPT Image 1.5
Research answer
Key takeaways
- Srpen 2026 přinesl odhalení tří chyb v Ethereum aplikaci Ledgeru, nikoli známý únik privátních klíčů nebo napadení firmwaru; Ledger tvrdí, že nemá důkazy o zneužití u uživatelů.
- Tým Anzen společnosti OneKey reprodukoval v laboratorních podmínkách zranitelnost LSB 023 ve starší verzi aplikace 1.22.1.
- LSB 024 mohla skrýt operace v dávce 257 akcí při clear signing a LSB 025 mohla za určitých podmínek během sw směny nahradit platbu schválením tokenu.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
V srpnu 2026 se kolem Ledgeru rozpoutala debata o „hacku“ hardwarové peněženky. Dostupné informace ale popisují především tři zranitelnosti v Ethereum aplikaci pro zařízení Ledger. Týkaly se zpracování, zobrazování a schvalování transakcí — nikoli extrakce privátních klíčů ani známého kompromitování operačního systému Ledgeru. Společnost uvádí, že nenašla důkazy o napadení uživatelů nebo o zneužití těchto chyb v reálném provozu. 35
38
Nejdůležitější praktický krok je jednoduchý: přes Ledger Live aktualizujte Ethereum aplikaci na verzi 1.22.3 nebo novější. Poté aplikaci otevřete přímo na fyzickém zařízení Ledger a ověřte nainstalovanou verzi. 35
Co OneKey reprodukoval
Bezpečnostní tým Anzen společnosti OneKey v kontrolovaném laboratorním testu reprodukoval zranitelnost LSB-023 proti Ethereum aplikaci ve verzi 1.22.1. Šlo o závodní podmínku při nahrazování transakce: zařízení mohlo přijmout nový příkaz APDU v době, kdy předchozí příkaz stále čekal na odpověď uživatele.
Během kontroly transakce na displeji zůstávala data ve sdíleném stavu. Parametry zobrazené uživateli se proto mohly lišit od parametrů, které zařízení nakonec podepsalo. 2
V praxi by útočník potřeboval ovládat komunikační cestu mezi počítačem a Ledgerem — například prostřednictvím malwaru, škodlivého walletového softwaru nebo kompromitované webové stránky s přístupem k zařízení. I v tomto scénáři však uživatel musel potvrdit výzvu zobrazenou na Ledgeru. Nešlo o útok, při kterém by došlo k odcizení seedu nebo privátních klíčů. 21
27
Ledger označení události za nový „live hack“ odmítl. Podle společnosti byla chyba opravena už v Ethereum aplikaci 1.22.2, vydané 13. srpna, tedy ještě před veřejnou demonstrací OneKey. Širší mitigaci následně přinesla také oprava v Secure SDK 26.6.1. 22
35
Dvě další chyby v Ethereum aplikaci
LSB-024: dávka 257 operací se mohla zobrazit neúplně
Zranitelnost LSB-024 souvisela s prací aplikace s poli při takzvaném clear signing, tedy s čitelným potvrzováním údajů transakce přímo na zařízení.
Parser načítal počet operací jako 16bitovou hodnotu, ale zbývající počet ukládal do 8bitového pole. U dávky 257 operací se proto mohl čítač přetočit a zařízení zobrazilo pouze poslední operaci, přestože podpis pokrýval celou dávku. 37
Nešlo o univerzální útok na každou ethereum transakci. Popsaný scénář vyžadoval kompromitovaný hostitelský počítač, clear-signingový deskriptor procházející útočníkem kontrolovaná data a kontrakt schopný přijmout a provést dávku větší než 255 operací. Ledger chybu opravil ve verzi 1.22.3. 37
LSB-025: platba při směně se mohla změnit na schválení tokenu
LSB-025 zasahovala konkrétní tok směny prostřednictvím aplikace Exchange. Ethereum aplikace kontrolovala cílovou adresu a očekávané množství, neověřovala však, zda jde skutečně o převod tokenů, nebo o operaci ERC-20 approval — tedy schválení, které jiné aplikaci umožňuje s tokeny nakládat.
Škodlivý nebo kompromitovaný poskytovatel směny tak mohl odeslat schválení odpovídající očekávanému aktivu, částce a adrese poskytovatele. Operace pak mohla být podepsána bez druhé výzvy na zařízení. 34
Rozsah chyby byl nicméně omezený. Schválení muselo odpovídat již ověřené adrese poskytovatele směny a očekávanému množství; nešlo je libovolně nasměrovat na útočníkovu adresu ani vytvořit neomezený limit. K přesunu schválených tokenů by navíc byla potřeba další samostatná transakce. Očekávaná platba by nedorazila, takže směna by selhala, místo aby běžně dokončila převod. Chyba se netýkala standardních approval operací mimo směny. Ledger ji opravil ve verzi 1.22.3. 34
Co případ říká o bezpečnosti hardwarových peněženek
Hardwarová peněženka může dobře izolovat privátní klíče a přesto obsahovat chybu v aplikační vrstvě — například v parseru transakcí, logice displeje nebo předávání dat mezi připojeným softwarem a zařízením.
Právě to bylo podstatou těchto případů: zda zařízení spolehlivě zobrazí a ověří stejnou operaci, jakou následně podepíše.
Tento rozdíl vysvětluje, proč je důležitá aktualizovatelnost. Secure element a izolace klíčů zůstávají zásadní ochranou, samy o sobě ale nezaručují bezchybnost každé blockchainové aplikace. Ledger svou reakcí zdůraznil aktualizace aplikací, posilování SDK, průběžné bezpečnostní kontroly a práci bezpečnostních výzkumníků. 27
38
Otázka načasování oprav zůstává otevřená
Zveřejněné informace otevírají také otázku řízení vydávání oprav. Záznamy bezpečnostních bulletinů uvádějí opravy pro LSB-024 a LSB-025 odděleně od pozdějšího vydání verze 1.22.3, dostupné materiály však nevysvětlují časový odstup mezi přípravou oprav a jejich zpřístupněním uživatelům. 5
34
37
Tato otázka je oddělená od samotné zneužitelnosti chyb. Nedokazuje, že byli uživatelé kompromitováni, je ale relevantní pro posouzení, jak rychle se bezpečnostní opravy dostávají k zákazníkům hardwarových peněženek.
Co mají uživatelé Ledgeru udělat
- Otevřete Ledger Live a aktualizujte Ethereum aplikaci na verzi 1.22.3 nebo novější.
- Otevřete Ethereum aplikaci přímo na fyzickém zařízení Ledger.
- Zkontrolujte verzi zobrazenou na samotném zařízení.
- I nadále pečlivě porovnávejte údaje transakce na displeji Ledgeru před každým schválením.
Samotná aktualizace firmwaru nestačí k ověření, že byla nahrazena právě dotčená Ethereum aplikace. Rozhodující je verze Ethereum aplikace nainstalovaná v zařízení. 35
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Ledger a chyby v Ethereum aplikaci: co ukázal test OneKey a co mají uživatelé udělat"?
Srpen 2026 přinesl odhalení tří chyb v Ethereum aplikaci Ledgeru, nikoli známý únik privátních klíčů nebo napadení firmwaru; Ledger tvrdí, že nemá důkazy o zneužití u uživatelů.
What are the key points to validate first?
Srpen 2026 přinesl odhalení tří chyb v Ethereum aplikaci Ledgeru, nikoli známý únik privátních klíčů nebo napadení firmwaru; Ledger tvrdí, že nemá důkazy o zneužití u uživatelů. Tým Anzen společnosti OneKey reprodukoval v laboratorních podmínkách zranitelnost LSB 023 ve starší verzi aplikace 1.22.1.
What should I do next in practice?
LSB 024 mohla skrýt operace v dávce 257 akcí při clear signing a LSB 025 mohla za určitých podmínek během sw směny nahradit platbu schválením tokenu.
Sources
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...