AnswersPublished19 sources
Ledgerin Ethereum-sovelluksen bugit selitetty
Ledgerin elokuun 2026 ilmoitukset koskivat kolmea Ethereum sovelluksen haavoittuvuutta – eivät yksityisavainten tai laitteen käyttöjärjestelmän vaarantumista. OneKey toisensi LSB 023 haavoittuvuuden valvotuissa laboratorio olosuhteissa vanhalla sovellusversiolla 1.22.1.
JulkaisijaMuokattu mallilla GPT-5.6 LunaKuvat luotu mallilla GPT Image 1.5
Research answer
Key takeaways
- Ledgerin elokuun 2026 ilmoitukset koskivat kolmea Ethereum sovelluksen haavoittuvuutta – eivät yksityisavainten tai laitteen käyttöjärjestelmän vaarantumista.
- OneKey toisensi LSB 023 haavoittuvuuden valvotuissa laboratorio olosuhteissa vanhalla sovellusversiolla 1.22.1.
- LSB 024 saattoi piilottaa toimintoja 257 operaation clear signing erässä, kun taas LSB 025 saattoi tietyissä swap tilanteissa korvata token siirron hyväksyntäluvalla.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
Ledgerin elokuussa 2026 käsittelemä tietoturvaepisodi koski kolmea Ledger-laitteiden Ethereum-sovelluksen haavoittuvuutta. Ongelmat liittyivät siihen, miten sovellus jäsensi, näytti ja hyväksyi transaktioita sekä swap-operaatioita – eivät käyttäjien yksityisavainten varastamiseen tai Ledgerin käyttöjärjestelmän ilmoitettuun vaarantumiseen. Ledgerin mukaan yhtiö ei löytänyt näyttöä käyttäjien hakkeroinneista tai haavoittuvuuksien hyväksikäytöstä oikeassa maailmassa. 35
38
Käytännön ohje on yksinkertainen: päivitä Ethereum-sovellus Ledger Livessä versioon 1.22.3 tai uudempaan. Avaa sen jälkeen Ethereum-sovellus fyysisellä Ledger-laitteella ja tarkista laitteen näytöltä asennettu versio. 35
Mitä OneKey toisensi?
OneKeyn Anzen-tietoturvatiimi toisensi LSB-023:n, transaktion korvaamiseen liittyvän kilpailutilannehaavoittuvuuden, valvotussa laboratoriotestissä Ethereum-sovelluksen versiolla 1.22.1. Haavoittuvuudessa laite saattoi hyväksyä uuden APDU-komennon, vaikka aiempi komento odotti vielä käyttäjän vastausta. Koska transaktion tiedot säilyivät jaetussa tilassa laitteen näyttäessä niitä käyttäjälle, ruudulla näkyvät parametrit saattoivat erota niistä parametreista, jotka lopulta allekirjoitettiin. 2
Käytännössä hyökkääjän, joka hallitsi Ledgeriin yhdistetyn tietokoneen ja laitteen välistä viestintää, olisi ollut mahdollista yrittää vaihtaa odottava transaktio sen jälkeen, kun oikea transaktio oli jo ilmestynyt laitteen näytölle. Tilanne olisi edellyttänyt vaarantunutta isäntäympäristöä, kuten haittaohjelmaa tai lompakkosovellusta, jolla on pääsy laitteeseen. Lisäksi käyttäjän olisi edelleen pitänyt hyväksyä Ledgerillä näytetty pyyntö. Kyse ei ollut siemenlauseen tai yksityisavainten varastamiseen tähtäävästä hyökkäyksestä. 21
27
Ledger kiisti kuvauksen uudesta, oikeassa maailmassa tapahtuneesta hakkeroinnista. Yhtiön mukaan ongelma oli jo korjattu Ethereum-sovelluksen versiossa 1.22.2, joka julkaistiin 13. elokuuta ennen OneKeyn julkista demonstraatiota. Ledger kertoi lisäksi laajemmasta lievennyksestä Secure SDK:n versiossa 26.6.1. 22
35
Kaksi muuta Ethereum-sovelluksen haavoittuvuutta
LSB-024: 257 operaation erä saattoi näkyä puutteellisesti
LSB-024 koski Ethereum-sovelluksen tapaa käsitellä taulukoita clear signing -allekirjoituksessa. Jäsennin luki operaatioiden määrän 16-bittisenä arvona, mutta tallensi jäljellä olevan määrän 8-bittiseen kenttään. 257 operaation erässä laskuri saattoi siksi kiertyä ympäri niin, että laite näytti vain viimeisen operaation, vaikka allekirjoitus kattoi koko erän. 37
Kyse ei ollut yleisestä hyökkäyksestä kaikkia Ethereum-transaktioita vastaan. Kuvattu tilanne edellytti vaarantunutta isäntälaitetta, clear signing -kuvausta, joka kävi läpi hyökkääjän hallitsemaa dataa, sekä älysopimusta, joka pystyy vastaanottamaan ja suorittamaan yli 255 operaation erän. Ledger korjasi ongelman Ethereum-sovelluksen versiossa 1.22.3. 37
LSB-025: swap-maksu saattoi muuttua token-hyväksynnäksi
LSB-025 koski tiettyä swap-prosessia, jossa käytetään Exchange-sovellusta. Ethereum-sovellus tarkisti swapissa odotetun kohdeosoitteen ja määrän, mutta ei varmistanut, oliko kyseessä todella token-siirto eikä ERC-20-hyväksyntä eli lupa käyttää tokeneita. Haitallinen tai vaarantunut swap-palveluntarjoaja olisi siksi voinut lähettää hyväksynnän, joka vastasi odotettua omaisuuserää, määrää ja palveluntarjoajan osoitetta, ja saada sen allekirjoitetuksi ilman uutta vahvistuspyyntöä laitteella. 34
Haavoittuvuuden rajat ovat tässä olennaisia. Hyväksyntä oli sidottu jo tarkistettuun swap-palveluntarjoajan osoitteeseen ja odotettuun määrään – se ei koskenut hyökkääjän vapaasti valitsemaa osoitetta tai rajatonta käyttöoikeutta. Hyväksyttyjen tokenien siirtämiseen olisi tarvittu erillinen myöhempi transaktio. Odotettu swap-maksu ei olisi saapunut, joten swap olisi epäonnistunut normaalin toteutumisen sijaan. Ongelma ei koskenut tavallisia, swap-prosessin ulkopuolisia hyväksyntöjä. Ledger korjasi LSB-025:n versiossa 1.22.3. 34
Mitä tapaus kertoo laitteistolompakoiden turvallisuudesta?
Laitteistolompakko voi pitää yksityisavaimet eristettyinä ja silti sisältää sovellustason heikkouksia transaktioiden jäsentämisessä, näyttölogiikassa tai yhdistetyn ohjelmiston ja laitteen välisessä tiedonsiirrossa. Näissä Ledgerin tapauksissa keskeinen kysymys oli, näyttikö laite käyttäjälle varmasti saman operaation, jonka se allekirjoitti.
Tämä selittää, miksi päivitettävyys on tärkeää. Turvasiru ja yksityisavainten eristäminen ovat edelleen keskeisiä suojakeinoja, mutta ne eivät poista yksittäisten lohkoketjusovellusten ohjelmistovirheitä. Ledger korosti vastauksessaan sovelluspäivityksiä, SDK:n vahvistamista, jatkuvaa tietoturvatarkastelua ja ulkopuolista haavoittuvuustutkimusta osana turvallisuusmallia. 27
38
Julkaisuaikataulu jäi osin epäselväksi
Julkistukset herättävät myös kysymyksen korjausten julkaisemisesta. Saatavilla oleva tietoturvatiedotusaineisto käsittelee LSB-024:n ja LSB-025:n korjauksia erikseen myöhemmin julkaistusta versiosta 1.22.3, mutta tässä käytettävissä olevat julkaisut eivät selitä, kuinka pitkä aika korjausten valmistelun ja käyttäjille saataville tulon välillä oli. 5
34
37
Aikataulukysymys on eri asia kuin haavoittuvuuksien hyväksikäytettävyys. Se ei osoita, että käyttäjiä olisi vaarannettu, mutta se on olennainen kysymys siitä, kuinka nopeasti tietoturvakorjaukset saavuttavat laitteistolompakoiden käyttäjät.
Mitä Ledger-käyttäjän kannattaa tehdä nyt?
- Avaa Ledger Live ja päivitä Ethereum-sovellus versioon 1.22.3 tai uudempaan.
- Avaa Ethereum-sovellus fyysisellä Ledger-laitteella.
- Tarkista laitteen omalta näytöltä, mikä sovellusversio on asennettuna.
- Tarkista transaktion tiedot jatkossakin huolellisesti laitteelta ennen hyväksymistä.
Pelkkä laitteen laiteohjelmiston päivittäminen ei vahvista, että kyseinen Ethereum-sovellus on korvattu korjatulla versiolla. Olennaista on Ledgeriin asennetun Ethereum-sovelluksen versionumero. 35
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Ledgerin Ethereum-sovelluksen bugit selitetty"?
Ledgerin elokuun 2026 ilmoitukset koskivat kolmea Ethereum sovelluksen haavoittuvuutta – eivät yksityisavainten tai laitteen käyttöjärjestelmän vaarantumista.
What are the key points to validate first?
Ledgerin elokuun 2026 ilmoitukset koskivat kolmea Ethereum sovelluksen haavoittuvuutta – eivät yksityisavainten tai laitteen käyttöjärjestelmän vaarantumista. OneKey toisensi LSB 023 haavoittuvuuden valvotuissa laboratorio olosuhteissa vanhalla sovellusversiolla 1.22.1.
What should I do next in practice?
LSB 024 saattoi piilottaa toimintoja 257 operaation clear signing erässä, kun taas LSB 025 saattoi tietyissä swap tilanteissa korvata token siirron hyväksyntäluvalla.
Sources
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...