AntwortenVeröffentlicht19 Quellen
Ledger-Sicherheitslücken erklärt: Was der OneKey-Test bedeutet und was Nutzer jetzt tun sollten
Die August Veröffentlichungen von Ledger betrafen drei Schwachstellen in der Ethereum App – nicht private Schlüssel oder die Firmware. OneKeys Anzen Team reproduzierte LSB 023 in einem kontrollierten Labortest mit der veralteten Ethereum App 1.22.1.
Veröffentlicht vonBearbeitet mit GPT-5.6 LunaBilder erstellt mit GPT Image 1.5
Forschungsantwort
Wichtige Erkenntnisse
- Die August Veröffentlichungen von Ledger betrafen drei Schwachstellen in der Ethereum App – nicht private Schlüssel oder die Firmware.
- OneKeys Anzen Team reproduzierte LSB 023 in einem kontrollierten Labortest mit der veralteten Ethereum App 1.22.1.
- LSB 024 konnte bei einem Clear Signing Batch mit 257 Vorgängen nur den letzten Vorgang anzeigen.
KI-Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
Die Sicherheitsdebatte um Ledger im August 2026 drehte sich um drei Schwachstellen in der Ethereum-App für Ledger-Geräte. Betroffen waren die Verarbeitung, Anzeige und Freigabe bestimmter Transaktionen und Swap-Vorgänge – nicht die Extraktion privater Schlüssel und nach Angaben von Ledger auch nicht das Betriebssystem des Geräts. Das Unternehmen erklärte, es gebe keine Hinweise darauf, dass Nutzer gehackt oder die Schwachstellen in freier Wildbahn ausgenutzt wurden. 35
38
Für Nutzer ist die wichtigste Maßnahme daher klar: Die Ethereum-App über Ledger Live auf Version 1.22.3 oder höher aktualisieren und anschließend die auf dem Gerät installierte Version direkt am Ledger überprüfen. 35
Was OneKey reproduziert hat
Das Sicherheitsteam Anzen von OneKey reproduzierte LSB-023, eine Race Condition zum Austauschen einer Transaktion, in einem kontrollierten Labortest mit der Ethereum-App 1.22.1. Das Problem: Das Gerät konnte einen neuen APDU-Befehl verarbeiten, während ein vorheriger Befehl noch auf die Bestätigung des Nutzers wartete. Da die Transaktionsdaten während der Prüfung auf dem Display in einem gemeinsamen Zustand verblieben, konnten sich die angezeigten und letztlich signierten Parameter unterscheiden. 2
Praktisch hätte ein Angreifer, der die Kommunikationsverbindung zwischen Computer und Ledger kontrolliert, versuchen können, eine ausstehende Transaktion auszutauschen, nachdem die ursprüngliche Transaktion bereits auf dem Gerät angezeigt worden war. Dafür wäre jedoch eine kompromittierte Umgebung nötig gewesen – etwa Schadsoftware oder eine Wallet-Anwendung mit Zugriff auf das Gerät. Außerdem hätte der Nutzer die auf dem Ledger angezeigte Anfrage weiterhin bestätigen müssen. Um einen Angriff auf die Seed-Phrase oder die privaten Schlüssel handelte es sich nicht. 21
27
Ledger widersprach deshalb der Darstellung als neuem, laufendem Hack. Nach Angaben des Unternehmens war die Schwachstelle bereits mit Ethereum-App-Version 1.22.2 behoben, die am 13. August veröffentlicht wurde – also vor der öffentlichen Demonstration von OneKey. Zusätzlich nannte Ledger eine umfassendere Gegenmaßnahme im Secure SDK 26.6.1. 22
35
Die zwei weiteren Schwachstellen in der Ethereum-App
LSB-024: Ein Batch mit 257 Vorgängen konnte unvollständig erscheinen
LSB-024 betraf die Verarbeitung von Arrays beim sogenannten Clear Signing. Dabei liest die App die Transaktionsdetails aus und zeigt sie auf dem Gerät an, damit Nutzer sie vor der Signatur prüfen können. Der Parser las die Anzahl der Vorgänge als 16-Bit-Wert ein, speicherte die verbleibende Anzahl jedoch in einem 8-Bit-Feld. Bei einem Batch mit 257 Vorgängen konnte der Zähler deshalb überlaufen. Das Gerät zeigte dann nur den letzten Vorgang an, obwohl die Signatur den gesamten Batch umfasste. 37
Das war kein allgemeiner Angriff auf jede Ethereum-Transaktion. Die beschriebenen Voraussetzungen waren eng: ein kompromittierter Host, ein Clear-Signing-Deskriptor mit von einem Angreifer kontrollierten Daten sowie ein Smart Contract, der einen Batch mit mehr als 255 Vorgängen akzeptiert und ausführt. Ledger behob das Problem mit Ethereum-App-Version 1.22.3. 37
LSB-025: Aus einer Swap-Zahlung konnte eine Token-Freigabe werden
LSB-025 betraf einen bestimmten Swap-Ablauf über die Exchange-Anwendung. Die Ethereum-App prüfte zwar die Zieladresse und den für den Swap erwarteten Betrag, verifizierte aber nicht, ob es sich tatsächlich um eine Token-Übertragung oder stattdessen um eine ERC-20-Freigabe handelte. Ein bösartiger oder kompromittierter Swap-Anbieter konnte daher eine Freigabe einreichen, die zur erwarteten Adresse, dem Asset und der Menge passte, und sie ohne eine zweite Bestätigung auf dem Gerät signieren lassen. 34
Die Einschränkungen dieses Szenarios sind wichtig: Die Freigabe war an die bereits geprüfte Adresse des Swap-Anbieters und an die erwartete Menge gebunden. Es ging also nicht um eine beliebige Adresse des Angreifers oder um eine unbegrenzte Genehmigung. Um die freigegebenen Token anschließend zu bewegen, wäre eine weitere Transaktion erforderlich gewesen. Die erwartete Swap-Zahlung wäre zudem ausgeblieben – der Swap hätte also fehlschlagen müssen, statt normal abzuschließen. Gewöhnliche Freigaben außerhalb eines Swaps waren nicht betroffen. Ledger behob LSB-025 in Version 1.22.3. 34
Was der Fall über die Sicherheit von Hardware-Wallets zeigt
Eine Hardware-Wallet kann private Schlüssel wirksam isolieren und dennoch Schwachstellen in einzelnen Anwendungen enthalten. Dazu gehören etwa Fehler beim Parsen von Transaktionen, bei der Darstellung auf dem Bildschirm oder bei der Übergabe zwischen verbundener Software und Gerät.
Genau darum ging es in den Ledger-Fällen: Zeigte das Gerät zuverlässig dieselbe Operation an, die es anschließend signierte? Die Sicherheit des Secure Elements und die Trennung der privaten Schlüssel bleiben wichtige Schutzmechanismen. Sie verhindern jedoch nicht automatisch Fehler in jeder einzelnen Blockchain-Anwendung.
Der Fall erklärt auch, warum aktualisierbare Apps ein Bestandteil des Sicherheitsmodells sind. Ledger verwies auf App-Updates, eine Härtung des SDK, fortlaufende Sicherheitsprüfungen und die Arbeit externer Sicherheitsforscher. 27
38
Die offene Frage zum Veröffentlichungszeitpunkt
Die Veröffentlichungen werfen außerdem eine Frage des Release-Managements auf. Die vorliegenden Sicherheitsbulletins führen die Korrekturen für LSB-024 und LSB-025 getrennt von der späteren Veröffentlichung von Version 1.22.3 auf. Sie erklären jedoch nicht, wie viel Zeit zwischen der Vorbereitung der Fixes und ihrer Bereitstellung für Nutzer lag. 5
34
37
Diese Frage ist von der praktischen Ausnutzbarkeit der Schwachstellen zu trennen. Sie belegt nicht, dass Nutzer kompromittiert wurden. Sie ist aber relevant dafür, wie schnell Sicherheitsupdates Kunden von Hardware-Wallets erreichen.
Was Ledger-Nutzer jetzt tun sollten
- Ledger Live öffnen und die Ethereum-App auf Version 1.22.3 oder höher aktualisieren.
- Die Ethereum-App auf dem physischen Ledger-Gerät öffnen.
- Die dort angezeigte App-Version kontrollieren.
- Transaktionsdetails weiterhin sorgfältig direkt auf dem Gerät prüfen, bevor eine Signatur bestätigt wird.
Ein Firmware-Update allein reicht nicht aus, um sicherzustellen, dass die betroffene Ethereum-App ersetzt wurde. Entscheidend ist die Version der auf dem Ledger installierten Ethereum-App. 35
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Die Leute fragen auch
Wie lautet die kurze Antwort auf „Ledger-Sicherheitslücken erklärt: Was der OneKey-Test bedeutet und was Nutzer jetzt tun sollten“?
Die August Veröffentlichungen von Ledger betrafen drei Schwachstellen in der Ethereum App – nicht private Schlüssel oder die Firmware.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Die August Veröffentlichungen von Ledger betrafen drei Schwachstellen in der Ethereum App – nicht private Schlüssel oder die Firmware. OneKeys Anzen Team reproduzierte LSB 023 in einem kontrollierten Labortest mit der veralteten Ethereum App 1.22.1.
Was soll ich als nächstes in der Praxis tun?
LSB 024 konnte bei einem Clear Signing Batch mit 257 Vorgängen nur den letzten Vorgang anzeigen.
Quellen
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...