RéponsesPublié19 sources
Ledger : ce que révèlent les failles de l’application Ethereum
Les divulgations d’août 2026 concernent trois failles de l’application Ethereum, et non une compromission des clés privées ou du système d’exploitation de Ledger. OneKey a reproduit en laboratoire la faille LSB 023 sur une ancienne version 1.22.1, dans un scénario nécessitant le contrôle de l’ordinateur connecté et...
Publié parModifié avec GPT-5.6 LunaImages générées avec GPT Image 1.5
Réponse de recherche
Points clés à retenir
- Les divulgations d’août 2026 concernent trois failles de l’application Ethereum, et non une compromission des clés privées ou du système d’exploitation de Ledger.
- OneKey a reproduit en laboratoire la faille LSB 023 sur une ancienne version 1.22.1, dans un scénario nécessitant le contrôle de l’ordinateur connecté et l’approbation de l’utilisateur.
- Les failles LSB 024 et LSB 025 pouvaient respectivement masquer des opérations dans un lot de 257 actions et remplacer un paiement de swap par une autorisation de jetons, dans des conditions limitées.
- Ledger recommande d’installer l’application Ethereum en version 1.22.3 ou ultérieure via Ledger Live, puis de vérifier la version directement sur l’appareil.
Prompt IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
L’épisode de sécurité qui a animé l’écosystème Ledger en août 2026 porte sur trois vulnérabilités de l’application Ethereum installée sur les appareils de la marque. Ces failles concernaient l’analyse, l’affichage ou la validation de certaines opérations — pas l’extraction des clés privées ni une compromission connue du système d’exploitation de Ledger. L’entreprise affirme n’avoir trouvé aucun indice de piratage d’utilisateurs ou d’exploitation de ces vulnérabilités dans la nature. 35
38
La mesure la plus importante pour les utilisateurs est simple : mettre à jour l’application Ethereum via Ledger Live vers la version 1.22.3 ou ultérieure, puis ouvrir l’application sur le Ledger pour contrôler la version installée. 35
Ce que OneKey a reproduit
L’équipe de sécurité Anzen de OneKey a reproduit la vulnérabilité LSB-023 sur l’application Ethereum 1.22.1, dans un environnement de laboratoire contrôlé. Il s’agissait d’une condition de concurrence permettant l’intercalation de commandes : l’appareil pouvait accepter une nouvelle commande APDU alors qu’une précédente attendait encore la réponse de l’utilisateur.
Pendant que les informations de la transaction restaient en mémoire partagée durant la vérification à l’écran, les paramètres affichés pouvaient ainsi différer de ceux finalement signés. 2
En pratique, un attaquant devait contrôler le canal de communication entre l’ordinateur hôte et le Ledger — par exemple au moyen d’un logiciel malveillant, d’un portefeuille compromis ou d’une page malveillante disposant d’un accès à l’appareil. L’utilisateur devait toujours valider la demande affichée sur l’écran du Ledger. Il ne s’agissait donc pas d’une attaque visant à récupérer la phrase secrète ou les clés privées. 21
27
Ledger a contesté la présentation de cette démonstration comme un nouveau piratage en cours. Selon l’entreprise, le problème avait déjà été corrigé dans l’application Ethereum 1.22.2, publiée le 13 août, avant la démonstration publique de OneKey. Une mesure de protection plus générale a également été intégrée à la Secure SDK 26.6.1. 22
35
Deux autres failles corrigées dans la version 1.22.3
LSB-024 : un lot de 257 opérations pouvait être affiché de manière incomplète
La vulnérabilité LSB-024 concernait le traitement des tableaux lors de la signature en clair — ou clear signing, c’est-à-dire lorsque les détails d’une opération sont affichés lisiblement sur l’appareil avant validation.
L’analyseur lisait le nombre d’opérations sur 16 bits, mais stockait le nombre restant dans un champ de seulement 8 bits. Avec un lot de 257 opérations, le compteur pouvait revenir à une valeur erronée : l’appareil n’affichait alors que la dernière opération, tandis que la signature couvrait l’ensemble du lot. 37
Le scénario ne constituait pas une attaque applicable à toutes les transactions Ethereum. Il supposait notamment un ordinateur compromis, un descripteur de signature en clair parcourant des données contrôlées par l’attaquant et un contrat capable d’accepter puis d’exécuter plus de 255 opérations en une seule fois. Ledger a corrigé le problème dans l’application Ethereum 1.22.3. 37
LSB-025 : un paiement de swap pouvait être remplacé par une autorisation de jetons
La faille LSB-025 concernait un parcours précis de swap utilisant l’application Exchange. L’application Ethereum vérifiait l’adresse de destination et la quantité attendue, mais ne confirmait pas que l’opération était bien un transfert de jetons plutôt qu’une autorisation ERC-20.
Un prestataire de swap malveillant ou compromis pouvait donc soumettre une autorisation correspondant à l’actif, au montant et à l’adresse du prestataire attendus, puis la faire signer sans afficher une seconde demande sur l’appareil. 34
La portée de cette vulnérabilité était toutefois limitée. L’autorisation devait viser l’adresse du prestataire déjà validée et la quantité prévue, plutôt qu’une adresse choisie librement par l’attaquant ou un montant illimité. Une transaction distincte aurait ensuite été nécessaire pour déplacer les jetons autorisés. De plus, le paiement attendu n’aurait pas été reçu : le swap aurait échoué au lieu de se terminer normalement. Les parcours d’autorisation classiques, en dehors des swaps, n’étaient pas concernés. Ledger a corrigé LSB-025 dans la version 1.22.3. 34
Ce que ces failles disent de la sécurité des portefeuilles matériels
Un portefeuille matériel peut isoler efficacement les clés privées tout en comportant des défauts dans ses applications : analyse des transactions, logique d’affichage ou transmission des données entre le logiciel connecté et l’appareil.
Les vulnérabilités révélées chez Ledger portaient précisément sur cette étape de confiance : l’appareil devait-il afficher et valider exactement l’opération qu’il allait signer ?
Cette distinction explique pourquoi les mises à jour restent essentielles. Le composant sécurisé et l’isolation des clés constituent des protections importantes, mais ils ne suppriment pas les erreurs possibles dans chaque application blockchain. Ledger a mis en avant les mises à jour des applications, le renforcement du SDK, les audits de sécurité et les recherches de vulnérabilités comme des éléments à part entière de son modèle de protection. 27
38
Une question reste ouverte sur le calendrier des correctifs
Les bulletins de sécurité fournis identifient séparément les correctifs de LSB-024 et LSB-025, puis leur disponibilité dans la version 1.22.3. En revanche, les documents publiés ici n’expliquent pas précisément le délai entre la préparation des correctifs et leur distribution aux utilisateurs. 5
34
37
Cette question de calendrier ne permet pas de conclure à une compromission. Elle reste néanmoins pertinente pour évaluer la vitesse à laquelle les correctifs de sécurité atteignent les détenteurs de portefeuilles matériels.
Que doivent faire les utilisateurs de Ledger ?
- Ouvrez Ledger Live et mettez à jour l’application Ethereum vers la version 1.22.3 ou ultérieure.
- Lancez l’application Ethereum sur votre appareil Ledger physique.
- Vérifiez la version affichée directement sur l’appareil.
- Continuez à examiner attentivement les détails des transactions sur l’écran du Ledger avant toute approbation.
La mise à jour du micrologiciel ne suffit pas à confirmer que l’application Ethereum concernée a bien été remplacée. La version déterminante est celle de l’application Ethereum installée sur le Ledger. 35
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Les gens demandent aussi
Quelle est la réponse courte à « Ledger : ce que révèlent les failles de l’application Ethereum » ?
Les divulgations d’août 2026 concernent trois failles de l’application Ethereum, et non une compromission des clés privées ou du système d’exploitation de Ledger.
Quels sont les points clés à valider en premier ?
Les divulgations d’août 2026 concernent trois failles de l’application Ethereum, et non une compromission des clés privées ou du système d’exploitation de Ledger. OneKey a reproduit en laboratoire la faille LSB 023 sur une ancienne version 1.22.1, dans un scénario nécessitant le contrôle de l’ordinateur connecté et l’approbation de l’utilisateur.
Que dois-je faire ensuite en pratique ?
Les failles LSB 024 et LSB 025 pouvaient respectivement masquer des opérations dans un lot de 257 actions et remplacer un paiement de swap par une autorisation de jetons, dans des conditions limitées.
Sources
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...