AnswersPublished19 sources
באגי האת׳ריום של Ledger: מה ש-OneKey שיחזרה, מה תוקן ומה המשתמשים צריכים לעשות
החשיפות של Ledger באוגוסט 2026 עסקו בשלוש חולשות באפליקציית Ethereum, ולא בפריצה למפתחות פרטיים או למערכת ההפעלה; החברה אומרת שאין ראיות שמשתמשים נפגעו. צוות האבטחה Anzen של OneKey שיחזר במעבדה את LSB 023 בגרסה הישנה 1.22.1 — חולשה שאפשרה להחליף עסקה בזמן שהמשתמש בחן אותה על גבי המכשיר.
פורסם על ידינערך באמצעות GPT-5.6 Lunaהתמונות נוצרו באמצעות GPT Image 1.5
Research answer
Key takeaways
- החשיפות של Ledger באוגוסט 2026 עסקו בשלוש חולשות באפליקציית Ethereum, ולא בפריצה למפתחות פרטיים או למערכת ההפעלה; החברה אומרת שאין ראיות שמשתמשים נפגעו.
- צוות האבטחה Anzen של OneKey שיחזר במעבדה את LSB 023 בגרסה הישנה 1.22.1 — חולשה שאפשרה להחליף עסקה בזמן שהמשתמש בחן אותה על גבי המכשיר.
- LSB 024 עלולה הייתה להסתיר פעולות באצווה של 257 פעולות ב clear signing, ואילו LSB 025 אפשרה בתנאים מוגבלים להחליף תשלום של החלפה בהרשאת טוקן.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
האירוע האבטחתי של Ledger באוגוסט 2026 כלל שלוש חולשות באפליקציית Ethereum המותקנת על מכשירי החברה. החולשות נגעו לאופן שבו עסקאות ופעולות החלפה מפוענחות, מוצגות או מאושרות — ולא לחילוץ המפתחות הפרטיים של המשתמשים או לפריצה מדווחת למערכת ההפעלה של Ledger. החברה אומרת שלא מצאה ראיות לכך שמשתמשים נפרצו או שהחולשות נוצלו בעולם האמיתי. 35
38
הצעד המעשי למשתמשים פשוט: לעדכן דרך Ledger Live את אפליקציית Ethereum לגרסה 1.22.3 או חדשה יותר, ולאחר מכן לפתוח את האפליקציה במכשיר Ledger עצמו ולוודא את מספר הגרסה המותקנת. 35
מה OneKey שיחזרה
צוות האבטחה Anzen של OneKey שיחזר במעבדה את LSB-023 — תנודת מרוץ שאפשרה להחליף עסקה — מול גרסה 1.22.1 של אפליקציית Ethereum. החולשה נבעה מכך שהמכשיר היה עשוי לקבל פקודת APDU חדשה בזמן שפקודה קודמת עדיין המתינה לתגובת המשתמש. מאחר שנתוני העסקה נשמרו במצב משותף במהלך הבדיקה על המסך, הפרטים שהוצגו למשתמש היו עלולים להיות שונים מהפרטים שנחתמו בסופו של דבר. 2
במונחים מעשיים, תוקף ששולט בערוץ התקשורת בין המחשב המארח לבין מכשיר Ledger היה יכול לנסות להחליף עסקה ממתינה לאחר שהעסקה המקורית כבר הוצגה על המסך. התרחיש דרש סביבת מחשב שנפרצה — למשל תוכנה זדונית או קוד של ארנק שקיבל גישה למכשיר — ועדיין דרש מהמשתמש לאשר את ההודעה שהופיעה ב-Ledger. לא מדובר במתקפה שמחלצת את משפט השחזור או את המפתחות הפרטיים. 21
27
Ledger דחתה את הצגת האירוע כפריצה חדשה שהתרחשה בזמן אמת. החברה מסרה שהבעיה כבר תוקנה בגרסה 1.22.2 של אפליקציית Ethereum, שפורסמה ב-13 באוגוסט — לפני ההדגמה הפומבית של OneKey. Ledger הצביעה גם על תיקון רחב יותר בגרסה 26.6.1 של Secure SDK. 22
35
שתי החולשות הנוספות באפליקציית Ethereum
LSB-024: אצווה של 257 פעולות הוצגה באופן חלקי
LSB-024 השפיעה על אופן הטיפול במערכים במהלך clear signing — תהליך שבו המשתמש בוחן את פרטי הפעולה על גבי המכשיר לפני החתימה. המפענח קרא את מספר הפעולות כערך של 16 ביט, אך שמר את מספר הפעולות שנותרו בשדה של 8 ביט. באצווה שכללה 257 פעולות, המספר היה עלול “להתהפך”, כך שהמכשיר הציג רק את הפעולה האחרונה אף שהחתימה אישרה את האצווה המלאה. 37
לא מדובר במתקפה כללית נגד כל עסקת Ethereum. התנאים שתוארו כללו מחשב מארח שנפרץ, מתאר clear-signing שעובר על נתונים הנשלטים בידי תוקף, וחוזה שמסוגל לקבל ולבצע אצווה הכוללת יותר מ-255 פעולות. Ledger תיקנה את הבעיה בגרסה 1.22.3 של אפליקציית Ethereum. 37
LSB-025: תשלום עבור החלפה עלול היה להפוך להרשאת טוקנים
LSB-025 השפיעה על מסלול החלפה מסוים שעבר דרך אפליקציית Exchange. אפליקציית Ethereum בדקה את כתובת היעד ואת הכמות שנדרשו עבור ההחלפה, אך לא אימתה שהפעולה היא העברת טוקנים בפועל ולא הרשאת ERC-20. כתוצאה מכך, ספק החלפות זדוני או כזה שנפרץ היה יכול לשלוח הרשאה שתואמת לנכס, לסכום ולכתובת הספק הצפויים — ולגרום לה לחתימה בלי בקשה נוספת על גבי המכשיר. 34
עם זאת, מדובר בחולשה מוגבלת בתנאים שלה. ההרשאה הייתה חייבת להיות קשורה לאותה כתובת של ספק ההחלפות שכבר אומתה ולאותה כמות צפויה; היא לא אפשרה לבחור כתובת תוקף שרירותית או להעניק הרשאה בלתי מוגבלת. עסקה נפרדת נוספת עדיין הייתה נדרשת כדי להעביר את הטוקנים שאושרו, והתשלום הצפוי עבור ההחלפה לא היה מגיע — כך שההחלפה הייתה נכשלת במקום להסתיים כרגיל. מסלול אישור רגיל, שאינו חלק מהחלפה, לא הושפע. Ledger תיקנה את LSB-025 בגרסה 1.22.3. 34
מה הפרשה מלמדת על אבטחת ארנקי חומרה
ארנק חומרה יכול לבודד את המפתחות הפרטיים ועדיין לכלול חולשות ברמת האפליקציה — למשל בפענוח עסקאות, בהצגת הנתונים או בממשק שבין תוכנת הארנק למכשיר. במקרה של Ledger, השאלה המרכזית הייתה אם המכשיר מציג למשתמש ומאמת באופן אמין את הפעולה שעליה הוא חותם.
זו גם הסיבה שיכולת העדכון חשובה כל כך. הרכיב המאובטח ובידוד המפתחות הם שכבות הגנה חיוניות, אך הם אינם מבטיחים שאין באגים באפליקציות הבלוקצ'יין עצמן. תגובת Ledger הדגישה עדכוני אפליקציות, הקשחת ה-SDK, בדיקות אבטחה מתמשכות ומחקר של חוקרי חולשות כחלק ממודל האבטחה הכולל. 27
38
שאלת תזמון העדכונים נותרה פתוחה
החשיפות מעלות גם שאלה של ניהול גרסאות: רישום עלוני האבטחה שסופק כאן מציג את התיקונים ל-LSB-024 ול-LSB-025 בנפרד מהשחרור המאוחר יותר של גרסה 1.22.3, אך החומרים שפורסמו במסגרת המקורות אינם מסבירים את פרק הזמן שבין הכנת התיקונים לבין הפיכתם לזמינים למשתמשים. 5
34
37
השאלה הזו נפרדת מהשאלה אם החולשות היו ניתנות לניצול. היא אינה מוכיחה שמשתמשים נפגעו, אך היא רלוונטית למהירות שבה תיקוני אבטחה מגיעים ללקוחות של ארנקי חומרה.
מה משתמשי Ledger צריכים לעשות עכשיו
- לפתוח את Ledger Live ולעדכן את אפליקציית Ethereum לגרסה 1.22.3 או חדשה יותר.
- לפתוח את אפליקציית Ethereum במכשיר Ledger הפיזי.
- לבדוק את מספר הגרסה שמופיע על גבי המכשיר עצמו.
- להמשיך לבחון בקפידה את פרטי העסקה על גבי המכשיר לפני כל אישור.
עדכון קושחת המכשיר לבדו אינו מספיק כדי לוודא שאפליקציית Ethereum שנפגעה הוחלפה. ההגנה הרלוונטית היא גרסת אפליקציית Ethereum המותקנת על ה-Ledger. 35
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "באגי האת׳ריום של Ledger: מה ש-OneKey שיחזרה, מה תוקן ומה המשתמשים צריכים לעשות"?
החשיפות של Ledger באוגוסט 2026 עסקו בשלוש חולשות באפליקציית Ethereum, ולא בפריצה למפתחות פרטיים או למערכת ההפעלה; החברה אומרת שאין ראיות שמשתמשים נפגעו.
What are the key points to validate first?
החשיפות של Ledger באוגוסט 2026 עסקו בשלוש חולשות באפליקציית Ethereum, ולא בפריצה למפתחות פרטיים או למערכת ההפעלה; החברה אומרת שאין ראיות שמשתמשים נפגעו. צוות האבטחה Anzen של OneKey שיחזר במעבדה את LSB 023 בגרסה הישנה 1.22.1 — חולשה שאפשרה להחליף עסקה בזמן שהמשתמש בחן אותה על גבי המכשיר.
What should I do next in practice?
LSB 024 עלולה הייתה להסתיר פעולות באצווה של 257 פעולות ב clear signing, ואילו LSB 025 אפשרה בתנאים מוגבלים להחליף תשלום של החלפה בהרשאת טוקן.
Sources
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...