AnswersPublished23 sources
באג ב-Ledger עלול היה להטעות את מסך האישור ולחתום על עסקה זדונית
באג מסוג race condition באפליקציית Ethereum של Ledger עלול היה לאפשר ל dApp זדוני להציג עסקה לגיטימית, בזמן שהמכשיר חתם על בקשה אחרת. Ledger מסרה שצוות האבטחה Donjon איתר את התקלה ותיקן אותה בגרסה 1.22.2, שהופצה ב 12 באוגוסט 2026.
פורסם על ידינערך באמצעות GPT-5.6 Lunaהתמונות נוצרו באמצעות GPT Image 1.5
Research answer
Key takeaways
- באג מסוג race condition באפליקציית Ethereum של Ledger עלול היה לאפשר ל dApp זדוני להציג עסקה לגיטימית, בזמן שהמכשיר חתם על בקשה אחרת.
- Ledger מסרה שצוות האבטחה Donjon איתר את התקלה ותיקן אותה בגרסה 1.22.2, שהופצה ב 12 באוגוסט 2026.
- חברת TestMachine פרסמה את ממצאיה בין 21 ל 23 באוגוסט, לאחר שלטענתה סוכן ה AI שלה Azimuth איתר ואימת את הבעיה ב Ledger Flex.
- נכון ל 24 באוגוסט לא דווח על גניבות שאומתו באופן עצמאי ונקשרו ישירות לתקלה. משתמשים התבקשו לעדכן את אפליקציית Ethereum דרך Ledger Live לגרסה 1.22.2 או חדשה יותר.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with the Ethereum app vulnerability in Ledger devices—including how the APDU race condition could replace a legitimate clear-s. Article summary: A flaw in Ledger’s Ethereum app could make an on-device clear-signing screen show a legitimate transaction while the device ultimately signed a different, malicious one. Ledger had already shipped a fix in Ethereum app v. Topic tags: general, general web, user generated, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
מה קרה באפליקציית Ethereum של Ledger?
אפליקציית Ethereum של Ledger כללה חולשה בכמה תרחישים של חתימה שקופה — מצב שבו המשתמש אמור לראות על מסך הארנק את פרטי העסקה לפני שהוא מאשר אותה. בתרחיש שנבדק, אתר או אפליקציה מבוזרת (dApp) זדוניים יכלו להחליף את נתוני העסקה בזמן שהמשתמש עדיין בחן את העסקה המקורית. כך היה עלול להיווצר מצב שבו המסך מציג פרטים לגיטימיים, אך המכשיר חותם בפועל על בקשה אחרת. 3
9
Ledger מסרה שצוות האבטחה הפנימי שלה, Donjon, זיהה את הבעיה ותיקן אותה לפני החשיפה הציבורית של TestMachine. התיקון הופץ באפליקציית Ethereum בגרסה 1.22.2 ב-12 באוגוסט 2026, ואילו TestMachine החלה לפרסם את ממצאיה ב-21 באוגוסט. 5
6
9
איך פעלה מתקפת החלפת החתימה?
החולשה נגעה ל-APDU — פרוטוקול ההודעות שבאמצעותו מתקשרים המחשב או ה-dApp עם אפליקציית Ethereum שעל מכשיר Ledger. בתהליך חתימה רגיל, המכשיר מקבל את נתוני העסקה, מציג למשתמש את הפרטים החשובים וממתין לאישור.
לפי המחקר שפורסם, אתר זדוני עם גישה דרך WebHID יכול היה לשלוח פקודת APDU נוספת בזמן שהעסקה הראשונה עדיין נמצאת בבדיקה. כך נוצר מרוץ בין שתי בקשות חתימה. בתהליך הפגיע לא הייתה קשירה אמינה מספיק בין העסקה שהוצגה על המסך לבין סשן חתימה יחיד ובלתי ניתן להחלפה — מה שפתח פתח להחלפת הבקשה שעליה ניתנה החתימה. 3
7
15
הסיכון לא הסתכם בכישלון של העסקה. משתמש יכול היה לראות פעולה תמימה ולאשר אותה, בעוד שהמכשיר חותם בסופו של דבר על אישור טוקנים מסוכן, העברה או בקשה אחרת שהוחלפה. מצב כזה היה פוגע בתפקיד המרכזי של חתימה שקופה: לאפשר למשתמש לבדוק את פרטי העסקה ישירות על גבי התקן החומרה לפני האישור. 1
10
מה תוקן בגרסה 1.22.2?
העדכון של Ledger טיפל בנתיב החתימה שהיה חשוף להחלפה. ניתוחים טכניים של השינויים בקוד מציינים כי גרסה 1.22.2 מונעת מסשן חתימה חדש להחליף סשן שכבר נמצא בבדיקה, ודוחה אישור כאשר מצב האפליקציה אינו תואם עוד לבקשה הפעילה. 10
מנהל הטכנולוגיות הראשי של Ledger, שארל גייה, אמר שצוות Donjon איתר את החולשה בעזרת כלים לזיהוי חולשות בסיוע בינה מלאכותית, וכי התיקון הופץ ב-12 באוגוסט. לפי הדיווחים, הודעת השחרור של הגרסה כללה ניסוח קצר על תיקוני אבטחה ולא הודעת אבטחה ציבורית מפורטת. 3
5
6
הפער הזה חשוב למשתמשים: עדכון האפליקציה עשוי להגן על תהליך החתימה מכאן והלאה, אך יומן שינויים קצר משאיר לבעלי המכשירים מעט מידע על מה תוקן והאם נדרשה פעולה מיידית.
החשיפה של TestMachine ו-Azimuth
TestMachine מסרה שסוכן ה-AI שלה, Azimuth, איתר את הבעיה במהלך סריקה אוטונומית, וכי החברה אימתה את ההתנהגות ב-Ledger Flex. בפרסומים שעלו בין 21 ל-23 באוגוסט תיארה החברה כיצד dApp זדוני יכול להתחרות על פקודת APDU בזמן שהמשתמש בוחן עסקה, והציגה את הבעיה ככזו שמשפיעה על כל מכשיר Ledger שמריץ את אפליקציית Ethereum. 4
7
15
החשיפה הציבורית הפנתה את תשומת הלב לחולשה ש-Ledger אומרת שכבר תוקנה. TestMachine מסרה גם כי ויתרה על קבלת פרס במסגרת תוכנית הבאונטי, בעוד Ledger חלקה על אופן התנהלות התקשורת בין הצדדים. 1
6
12
על מה חלוקים Ledger ו-TestMachine?
המחלוקת עוסקת בעיקר בשאלה מי גילה את החולשה ומתי התקיימה חשיפתה הפרטית — לא בעצם קיומו של תיקון.
לפי עמדת Ledger, כפי שהציג אותה גייה, צוות Donjon גילה את התקלה, תיקן אותה והפיץ את העדכון כשבועיים לפני ש-TestMachine פרסמה את ממצאיה. הוא ביקר את אופן החשיפה המאוחר וטען שהוא יצר בהלה מיותרת, אף שהחברה כבר טיפלה בחולשה. 6
7
12
TestMachine טוענת מנגד ש-Azimuth איתר ואימת את הבעיה באופן עצמאי, ושפרסום שקט של עדכון ללא אזהרה משמעותית למשתמשים לא הסביר את הסיכון. בפרסומיה הדגישה החברה את תרחיש התקיפה ואת היקף הטענה שלה. 7
15
הדיווחים הזמינים תומכים בתאריך התיקון, 12 באוגוסט, ובתאריכי הפרסומים הציבוריים, 21–23 באוגוסט. עם זאת, הם אינם קובעים באופן עצמאי את תאריכי הגילוי הפרטיים המדויקים, את התקשורת בין הצדדים או את השתלשלות האירועים המלאה. לכן יש להתייחס לפרטים האלה כאל גרסאות מתחרות, ולא כאל עובדות שהוכרעו. 5
6
9
12
אילו מכשירי Ledger עשויים להיות מושפעים?
הטענה הרחבה של TestMachine התבססה על קוד משותף באפליקציית Ethereum ובתהליך החתימה, אך האימות המעשי שעליו דיווחה החברה בוצע ב-Ledger Flex. דיווחים הצביעו על משפחות מכשירים מודרניות שעשויות לחלוק את הקוד הרלוונטי, ובהן Nano S Plus, Nano X, Stax ו-Flex. 2
7
20
עם זאת, אין בכך הוכחה מלאה ומתועדת באופן עצמאי לניצול החולשה בכל דגם של Ledger. נכון ל-24 באוגוסט, האמירה ש"כל מכשירי Ledger" פגיעים נותרה טענה של החוקרים ולא תוצאה שהודגמה במלואה בכל קווי המוצרים. יש להבחין בין נתיב תוכנה שעשוי להיות משותף לכמה דגמים לבין ניצול ששוחזר בפומבי בכל אחד מהם.
האם נגנבו כספים?
נכון ל-24 באוגוסט 2026, לא דווח על גניבות שאומתו באופן עצמאי ונקשרו ספציפית לחולשה הזו. בנוסף, לא אושר פומבית ניסוי מלא של התקיפה בכל דגמי Ledger שעליהם נטענה השפעה. 2
5
6
14
הדבר מתאר את הראיות הזמינות באותו מועד, ואינו מוכיח שהחולשה מעולם לא נוצלה. חומרת הבעיה נבעה מהאפשרות לעקוף את בדיקת העסקה שעליה מסתמכים משתמשי הארנק, גם אם בדיווחים הזמינים לא הופיעו הפסדים מאומתים.
מה משתמשי Ledger צריכים לעשות?
יש לפתוח את Ledger Live ולעדכן את אפליקציית Ethereum לגרסה 1.22.2 או חדשה יותר. מומלץ לעדכן גם את קושחת המכשיר ואת האפליקציות המותקנות לגרסאות העדכניות. התיקון הרלוונטי לחולשת החתימה הזו היה עדכון אפליקציית Ethereum — ולא עדכון קושחה בלבד. 5
15
גם לאחר העדכון, בדיקה על גבי המכשיר נשארת חיונית: יש לוודא את הכתובת המקבלת, הסכום ופעולת החוזה שמוצגים ב-Ledger לפני אישור העסקה. העדכון מטפל בנתיב החלפת הסשנים שדווח עליו, אך בדיקה קפדנית של פרטי כל עסקה עדיין מהווה עיקרון אבטחה חשוב.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "באג ב-Ledger עלול היה להטעות את מסך האישור ולחתום על עסקה זדונית"?
באג מסוג race condition באפליקציית Ethereum של Ledger עלול היה לאפשר ל dApp זדוני להציג עסקה לגיטימית, בזמן שהמכשיר חתם על בקשה אחרת.
What are the key points to validate first?
באג מסוג race condition באפליקציית Ethereum של Ledger עלול היה לאפשר ל dApp זדוני להציג עסקה לגיטימית, בזמן שהמכשיר חתם על בקשה אחרת. Ledger מסרה שצוות האבטחה Donjon איתר את התקלה ותיקן אותה בגרסה 1.22.2, שהופצה ב 12 באוגוסט 2026.
What should I do next in practice?
חברת TestMachine פרסמה את ממצאיה בין 21 ל 23 באוגוסט, לאחר שלטענתה סוכן ה AI שלה Azimuth איתר ואימת את הבעיה ב Ledger Flex.