RespuestasPublicado19 fuentes
Fallos en la app de Ethereum de Ledger: qué reprodujo OneKey y cómo protegerse
Las revelaciones de Ledger de agosto de 2026 afectan a tres fallos de la app de Ethereum, no a las claves privadas ni al firmware; la empresa afirma que no hay pruebas de explotación contra usuarios. OneKey reprodujo LSB 023 en un entorno controlado usando la versión desactualizada 1.22.1 de la app.
Publicado porEditado con GPT-5.6 LunaImágenes generadas con GPT Image 1.5
Respuesta de investigación
Conclusiones clave
- Las revelaciones de Ledger de agosto de 2026 afectan a tres fallos de la app de Ethereum, no a las claves privadas ni al firmware; la empresa afirma que no hay pruebas de explotación contra usuarios.
- OneKey reprodujo LSB 023 en un entorno controlado usando la versión desactualizada 1.22.1 de la app.
- LSB 024 podía ocultar operaciones en un lote de firma clara de 257 elementos, mientras que LSB 025 podía sustituir un pago de tokens por una autorización durante un intercambio bajo condiciones muy concretas.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
La polémica de seguridad de Ledger en agosto de 2026 no corresponde, según la empresa, a un robo de claves privadas ni a una intrusión en el sistema operativo de sus dispositivos. Los problemas estaban en la aplicación de Ethereum: en la forma de interpretar, mostrar o aprobar determinadas operaciones. Ledger asegura que no encontró pruebas de usuarios hackeados ni de explotación de estos fallos en la práctica. 35
38
La medida más importante para los usuarios es clara: actualizar la app de Ethereum desde Ledger Live a la versión 1.22.3 o posterior y comprobar después la versión instalada directamente en el dispositivo. 35
Qué reprodujo OneKey
El equipo de seguridad Anzen, de OneKey, reprodujo en un laboratorio el fallo LSB-023, una condición de carrera que permitía sustituir una transacción. La prueba se realizó contra la versión 1.22.1 de la app de Ethereum.
El problema aparecía cuando el dispositivo aceptaba un nuevo comando APDU —un mensaje utilizado para comunicarse con el hardware— mientras el comando anterior todavía esperaba la respuesta del usuario. Como los datos de la transacción permanecían en un estado compartido durante la revisión en pantalla, la información mostrada podía no coincidir con los parámetros que finalmente se firmaban. 2
En un escenario práctico, un atacante que controlara la comunicación entre el ordenador y el Ledger podía intentar reemplazar una transacción pendiente después de que la legítima apareciera en la pantalla del dispositivo. Para ello necesitaba un entorno anfitrión comprometido, por ejemplo, malware o una aplicación de cartera con acceso al dispositivo. Además, el usuario todavía debía aprobar el aviso que aparecía en el Ledger. No se trataba de un ataque destinado a extraer la frase semilla o las claves privadas. 21
27
Ledger rechazó describir la demostración como un nuevo hackeo activo. La compañía afirmó que el problema ya se había corregido en la versión 1.22.2 de la app de Ethereum, publicada el 13 de agosto, antes de la demostración pública de OneKey. También señaló una mitigación más amplia en la versión 26.6.1 de Secure SDK. 22
35
Los otros dos fallos de la app de Ethereum
LSB-024: un lote de 257 operaciones podía mostrarse de forma incompleta
LSB-024 afectaba al procesamiento de listas de operaciones durante la firma clara o clear signing, el sistema que permite revisar en el dispositivo los detalles de una operación antes de firmarla.
El analizador interpretaba el número de operaciones como un valor de 16 bits, pero guardaba el contador restante en un campo de 8 bits. Con un lote de 257 operaciones, el contador podía reiniciarse y hacer que el dispositivo mostrara únicamente la última operación, aunque la firma cubriera el lote completo. 37
No era un ataque aplicable a cualquier transacción de Ethereum. Las condiciones descritas incluían un ordenador comprometido, un descriptor de firma clara que recorriera datos controlados por el atacante y un contrato capaz de aceptar y ejecutar más de 255 operaciones en un solo lote. Ledger corrigió el fallo en la versión 1.22.3 de la app. 37
LSB-025: un pago de un intercambio podía convertirse en una autorización de tokens
LSB-025 afectaba a un flujo específico de intercambio gestionado mediante la aplicación Exchange. La app de Ethereum comprobaba la dirección de destino y la cantidad esperada, pero no verificaba que la operación fuera realmente una transferencia de tokens y no una autorización ERC-20.
Como consecuencia, un proveedor de intercambios malicioso o comprometido podía enviar una autorización que coincidiera con el activo, el importe y la dirección del proveedor previstos. Esa operación podía firmarse sin mostrar una segunda confirmación en el dispositivo. 34
El alcance del problema era limitado. La autorización debía estar vinculada a la dirección del proveedor de intercambio ya validada y a la cantidad esperada; no podía dirigirse libremente a una dirección elegida por el atacante ni establecer automáticamente una autorización ilimitada. Además, habría sido necesaria una transacción posterior para mover los tokens autorizados. El pago esperado no llegaría, por lo que el intercambio fallaría en lugar de completarse normalmente. El fallo no afectaba a los flujos ordinarios de autorización que no fueran intercambios. Ledger lo corrigió en la versión 1.22.3. 34
Qué revela el episodio sobre la seguridad de las carteras físicas
Una cartera física puede mantener las claves privadas aisladas y, al mismo tiempo, contener errores en el análisis de transacciones, la lógica de visualización o la comunicación entre el software conectado y el dispositivo.
Los tres casos de Ledger se concentraban en una pregunta esencial: si el dispositivo mostraba y validaba de forma fiable exactamente la operación que iba a firmar.
Por eso las actualizaciones siguen siendo importantes. El elemento seguro y el aislamiento de las claves son defensas fundamentales, pero no eliminan los errores que puedan aparecer en aplicaciones concretas de una cadena de bloques. Ledger presentó su respuesta como una combinación de actualizaciones de aplicaciones, refuerzo del SDK, revisiones de seguridad e investigación de vulnerabilidades. 27
38
La cuestión pendiente sobre los tiempos de publicación
Las divulgaciones también dejan abierta una cuestión de gestión de versiones. El registro de los boletines identifica por separado las correcciones de LSB-024 y LSB-025 y su posterior inclusión en la versión 1.22.3, pero el material publicado no explica con detalle cuánto tiempo transcurrió entre la preparación de las correcciones y su disponibilidad para los usuarios. 5
34
37
Esta duda sobre los plazos no demuestra que los usuarios fueran comprometidos ni cambia las condiciones necesarias para explotar los fallos. Sí resulta relevante para evaluar la rapidez con la que las actualizaciones de seguridad llegan a los clientes de carteras físicas.
Qué deben hacer ahora los usuarios de Ledger
- Abre Ledger Live y actualiza la app de Ethereum a la versión 1.22.3 o posterior.
- Abre la app de Ethereum en el dispositivo Ledger físico.
- Comprueba la versión que aparece en la propia pantalla del dispositivo.
- Sigue revisando cuidadosamente en el Ledger los detalles de cada transacción antes de aprobarla.
Actualizar únicamente el firmware no basta para confirmar que la aplicación de Ethereum afectada ha sido sustituida. La protección relevante en este caso es la versión de la app de Ethereum instalada en el dispositivo. 35
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "Fallos en la app de Ethereum de Ledger: qué reprodujo OneKey y cómo protegerse"?
Las revelaciones de Ledger de agosto de 2026 afectan a tres fallos de la app de Ethereum, no a las claves privadas ni al firmware; la empresa afirma que no hay pruebas de explotación contra usuarios.
¿Cuáles son los puntos clave a validar primero?
Las revelaciones de Ledger de agosto de 2026 afectan a tres fallos de la app de Ethereum, no a las claves privadas ni al firmware; la empresa afirma que no hay pruebas de explotación contra usuarios. OneKey reprodujo LSB 023 en un entorno controlado usando la versión desactualizada 1.22.1 de la app.
¿Qué debo hacer a continuación en la práctica?
LSB 024 podía ocultar operaciones en un lote de firma clara de 257 elementos, mientras que LSB 025 podía sustituir un pago de tokens por una autorización durante un intercambio bajo condiciones muy concretas.
Fuentes
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...