Ledger-bug kunne vise én transaktion og signere en anden

Ledger Ethereum-appen indeholdt en fejl i visse såkaldte clear-signing-forløb. Den kunne i et alvorligt scenarie gøre det muligt for en ondsindet decentral app – en dApp – at udskifte transaktionsdata, mens brugeren stadig gennemgik den oprindelige transaktion. Ledger-enheden kunne dermed fortsætte med at vise legitime oplysninger, selv om den endte med at signere en anden anmodning. 39

Ledger oplyser, at virksomhedens sikkerhedsteam Donjon fandt og rettede problemet, før TestMachine offentliggjorde sine resultater. Rettelsen blev udsendt i Ethereum-appens version 1.22.2 den 12. august 2026, mens TestMachine begyndte sin offentlige omtale den 21. august. 569

Sådan kunne angrebet fungere

Fejlen handlede om APDU-kommandoer – de beskeder, der udveksles mellem en tilsluttet computer eller dApp og Ledger Ethereum-appen. Ved en normal clear-signing-godkendelse modtager enheden transaktionsdata, viser centrale detaljer på skærmen og venter på brugerens godkendelse.

Ifølge den rapporterede forskning kunne en ondsindet hjemmeside eller dApp med WebHID-adgang sende en ekstra APDU-kommando, mens den første transaktion stadig blev vist til gennemsyn. Det skabte et kapløb mellem to signeringsanmodninger. Den sårbare arbejdsgang bandt ikke altid den transaktion, der blev vist på skærmen, til én uforanderlig signeringssession. Det åbnede en vej til at erstatte den transaktion, der skulle signeres. 3715

Risikoen var derfor ikke blot, at en transaktion kunne mislykkes. Brugeren kunne se en harmløs handling og godkende den, mens enheden i stedet signerede en skadelig token-godkendelse, overførsel eller anden erstattet anmodning. Det ville svække selve formålet med clear signing: at brugeren skal kunne kontrollere transaktionsdetaljerne på hardwareenheden, før de godkendes. 110

Hvad ændrede version 1.22.2?

Ledger-opdateringen rettede den berørte signeringsproces. Teknisk rapportering om kodeændringerne viser, at version 1.22.2 forhindrer en ny signeringssession i at erstatte en session, der allerede er under gennemgang. Den afviser også en godkendelses-tilbagemelding, hvis appens tilstand ikke længere stemmer overens med den aktive anmodning. 10

Ledgers teknologidirektør, Charles Guillemet, har sagt, at Donjon fandt sårbarheden ved hjælp af AI-understøttede værktøjer til sårbarhedsdetektion og udsendte rettelsen den 12. august. Ifølge rapporterne bestod den tilhørende tekst i versionshistorikken blot af en kort meddelelse om sikkerhedsrettelser frem for en detaljeret offentlig sikkerhedsadvisering. 356

Det er væsentligt for brugerne. En opdatering kan beskytte signeringsprocessen fremover, men en meget kort versionsbeskrivelse giver begrænset information om, hvad der blev ændret, og om brugerne skulle reagere med det samme.

TestMachine og Azimuths offentliggørelse

TestMachine har sagt, at virksomhedens AI-agent Azimuth fandt fejlen under en autonom scanning, og at teamet validerede den på en Ledger Flex. I opslag offentliggjort fra 21. til 23. august beskrev TestMachine, hvordan en ondsindet dApp kunne sende en konkurrerende APDU-kommando under transaktionsgennemgangen. Virksomheden fremstillede samtidig problemet som noget, der berørte alle Ledger-enheder, der kører Ethereum-appen. 4715

Den offentlige omtale satte fokus på en sårbarhed, som Ledger siger allerede var blevet rettet. TestMachine har desuden sagt, at virksomheden afslog en dusør, mens Ledger har bestridt, hvordan kommunikationen mellem parterne foregik. 1612

Uenighed om hvem der fandt fejlen først

Striden handler først og fremmest om den private opdagelses- og offentliggørelsestidslinje – ikke om, hvorvidt der findes en rettelse.

Ledgers version, fremsat af Guillemet, er, at Donjon fandt fejlen, rettede den og udsendte løsningen omkring to uger, før TestMachine gik offentligt ud. Han kritiserede den efterfølgende offentliggørelse for at skabe unødig panik og sagde, at virksomheden allerede havde håndteret sårbarheden. 6712

TestMachine fastholder, at Azimuth uafhængigt fandt og validerede problemet, og at Ledgers stille opdatering ikke gav brugerne en meningsfuld advarsel om risikoen. Virksomhedens offentlige opslag fremhævede angrebsscenariet og den brede rækkevidde, som TestMachine mente, fejlen havde. 715

Den tilgængelige rapportering understøtter datoen for rettelsen den 12. august og de offentlige opslag fra 21. til 23. august. Den fastslår ikke uafhængigt de præcise datoer for den private opdagelse, kommunikationen om ansvarlig offentliggørelse eller hele hændelsesforløbet. De detaljer bør derfor opfattes som parternes modstridende udsagn snarere end endeligt fastslåede fakta. 56912

Hvilke Ledger-enheder kan være berørt?

TestMachines brede påstand byggede på fælles Ethereum-applikations- og signeringskode, men den rapporterede praktiske validering blev udført på en Ledger Flex. Rapporter har peget på moderne enhedsfamilier, der kan dele den relevante kode, herunder Nano S Plus, Nano X, Stax og Flex. 2720

Det er ikke det samme som et komplet, uafhængigt dokumenteret bevis på, at angrebet virker på hver eneste Ledger-model. Den 24. august var formuleringen »alle Ledger-enheder« fortsat en forskerpåstand og ikke et fuldt demonstreret resultat på tværs af alle enhedslinjer. Brugere bør skelne mellem en mulig fælles softwarevej og en offentligt reproduceret udnyttelse på hver enkelt model.

Er brugernes penge blevet stjålet?

Den 24. august 2026 var der ikke rapporteret om uafhængigt bekræftede tyverier, der specifikt kunne knyttes til denne sårbarhed. Der var heller ikke en bekræftet, komplet offentlig demonstration på tværs af alle de Ledger-enheder, som blev hævdet at være berørt. 25614

Det siger noget om den dokumenterede viden på det tidspunkt – ikke at fejlen aldrig blev udnyttet. Sårbarheden var alvorlig, fordi den potentielt kunne omgå den transaktionskontrol, som brugerne stoler på, selv om der ikke var fremkommet bekræftede tab i den tilgængelige rapportering.

Det bør Ledger-brugere gøre

Åbn Ledger Live, og opdater Ethereum-appen til version 1.22.2 eller nyere. Hold også Ledger-enhedens firmware og de installerede apps opdaterede. Den relevante rettelse til denne fejl var opdateringen af Ethereum-appen – ikke blot en firmwareopdatering. 515

Efter opdateringen bør brugerne fortsat gennemgå oplysningerne på selve enheden før hver godkendelse. Kontrollér blandt andet modtager, beløb og den handling, som smartkontrakten forsøger at udføre. Opdateringen lukker den rapporterede vej til at udskifte en aktiv signeringssession, men omhyggelig kontrol af transaktioner er stadig en vigtig sikkerhedsvane.