उत्तरप्रकाशित2 माह पहलेLast edited 2 माह पहले19 स्रोत

Ledger Ethereum ऐप की सुरक्षा खामियों को समझें: OneKey के टेस्ट से अपडेट तक पूरी जानकारी

Ledger के अनुसार, अगस्त 2026 की तीनों Ethereum ऐप खामियों से निजी चाबियां या फर्मवेयर प्रभावित नहीं हुए और यूज़र्स के शोषण का कोई सबूत नहीं मिला। [35][38] OneKey ने पुराने Ethereum ऐप वर्जन 1.22.1 में LSB 023 को नियंत्रित लैब टेस्ट में दोहराया; Ledger के मुताबिक इसे वर्जन 1.22.2 में ठीक किया जा चुका था। [2][22][35]...

प्रकाशितकर्ताGPT-5.6 Luna से संपादितGPT Image 1.5 से चित्र बनाए गए

Studio Global AI के साथ खोजें और तथ्यों की जांच करें और ट्रेंडिंग पेज देखें

शोध उत्तर

मुख्य निष्कर्ष

Ledger के अनुसार, अगस्त 2026 की तीनों Ethereum ऐप खामियों से निजी चाबियां या फर्मवेयर प्रभावित नहीं हुए और यूज़र्स के शोषण का कोई सबूत नहीं मिला। [35][38]
OneKey ने पुराने Ethereum ऐप वर्जन 1.22.1 में LSB 023 को नियंत्रित लैब टेस्ट में दोहराया; Ledger के मुताबिक इसे वर्जन 1.22.2 में ठीक किया जा चुका था। [2][22][35]
LSB 024 में 257 ऑपरेशन वाले बैच का केवल अंतिम ऑपरेशन दिख सकता था, जबकि LSB 025 में कुछ सीमित परिस्थितियों में स्वैप पेमेंट की जगह टोकन अप्रूवल साइन हो सकता था। [34][37]

Editorial illustration of a Ledger hardware wallet displaying an Ethereum transaction while security warnings and code appear in the background — What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-pIllustration of the transaction-signing and display risks discussed in Ledger’s August 2026 Ethereum-app security bulletins.
AI संकेत
Create a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
openai.com

अगस्त 2026 में Ledger के Ethereum ऐप से जुड़ी तीन सुरक्षा खामियां चर्चा में आईं। इनका संबंध निजी चाबियां निकालने या Ledger के ऑपरेटिंग सिस्टम के समझौता किए जाने से नहीं था। खामियां मुख्य रूप से इस बात से जुड़ी थीं कि डिवाइस किसी ट्रांजैक्शन या स्वैप ऑपरेशन को कैसे पढ़ता, स्क्रीन पर दिखाता और साइन करने की अनुमति देता है। Ledger का कहना है कि उसे यूज़र्स के हैक होने या इन खामियों के वास्तविक दुनिया में इस्तेमाल होने का कोई सबूत नहीं मिला। 35 38

यूज़र्स के लिए सबसे जरूरी कदम है: Ledger Live के जरिए Ethereum ऐप को वर्जन 1.22.3 या उसके बाद के वर्जन पर अपडेट करें, फिर Ledger डिवाइस पर Ethereum ऐप खोलकर इंस्टॉल किया गया वर्जन खुद जांचें। 35

OneKey ने क्या दोहराया?

OneKey की Anzen सुरक्षा टीम ने Ethereum ऐप के पुराने वर्जन 1.22.1 पर LSB-023 नाम की ट्रांजैक्शन-रिप्लेसमेंट रेस कंडीशन को नियंत्रित लैब टेस्ट में दोहराया। यह समस्या तब पैदा हो सकती थी जब डिवाइस पर किसी कमांड का जवाब यूज़र की स्वीकृति का इंतजार कर रहा हो और इसी दौरान एक नई APDU कमांड स्वीकार कर ली जाए।

ऑन-स्क्रीन समीक्षा के दौरान ट्रांजैक्शन की जानकारी साझा स्टेट में बनी रहती थी। इसलिए स्क्रीन पर यूज़र को दिखाए गए पैरामीटर और अंततः साइन किए गए पैरामीटर अलग हो सकते थे। 2

व्यावहारिक रूप से, हमलावर को Ledger और होस्ट कंप्यूटर के बीच संचार पर नियंत्रण चाहिए होता—मसलन मैलवेयर, दुर्भावनापूर्ण वॉलेट सॉफ्टवेयर या डिवाइस तक पहुंच रखने वाला कोई संक्रमित होस्ट। इसके बाद भी Ledger पर दिखाई देने वाले प्रॉम्प्ट को यूज़र की मंजूरी जरूरी थी। यह सीड या निजी कुंजी निकालने वाला हमला नहीं था। 21 27

Ledger ने इसे नया, लाइव हैक बताए जाने पर आपत्ति जताई। कंपनी के अनुसार, OneKey के सार्वजनिक प्रदर्शन से पहले ही Ethereum ऐप वर्जन 1.22.2 में यह समस्या ठीक की जा चुकी थी। यह वर्जन 13 अगस्त को जारी हुआ था। Ledger ने Secure SDK वर्जन 26.6.1 में भी व्यापक स्तर का समाधान बताया। 22 35

दो अन्य Ethereum ऐप खामियां

LSB-024: 257 ऑपरेशन वाले बैच में जानकारी अधूरी दिख सकती थी

LSB-024 का संबंध clear signing के दौरान Ethereum ऐप द्वारा arrays संभालने से था। ऐप ऑपरेशन की संख्या को 16-बिट वैल्यू के रूप में पढ़ता था, लेकिन बचे हुए ऑपरेशन की संख्या 8-बिट फील्ड में रखता था।

यदि बैच में 257 ऑपरेशन होते, तो काउंटर का मान इस तरह बदल सकता था कि डिवाइस स्क्रीन पर केवल आखिरी ऑपरेशन दिखे, जबकि सिग्नेचर पूरे बैच को अधिकृत कर रहा हो। 37

यह हर Ethereum ट्रांजैक्शन पर लागू होने वाला सामान्य हमला नहीं था। इसके लिए संक्रमित या नियंत्रित होस्ट, ऐसा clear-signing descriptor जो हमलावर के नियंत्रण वाले डेटा पर काम करे, और 255 से अधिक ऑपरेशन स्वीकार कर उन्हें निष्पादित करने वाला स्मार्ट कॉन्ट्रैक्ट जरूरी होता। Ledger ने इसे Ethereum ऐप वर्जन 1.22.3 में ठीक किया। 37

LSB-025: स्वैप पेमेंट की जगह टोकन अप्रूवल साइन हो सकता था

LSB-025 एक खास स्वैप फ्लो से जुड़ी थी, जिसमें Exchange ऐप शामिल था। Ethereum ऐप स्वैप के लिए अपेक्षित डेस्टिनेशन एड्रेस और मात्रा की जांच करता था, लेकिन यह सत्यापित नहीं करता था कि ऑपरेशन वास्तव में टोकन ट्रांसफर है या ERC-20 अप्रूवल।

इस वजह से कोई दुर्भावनापूर्ण या समझौता किया गया स्वैप प्रोवाइडर ऐसा अप्रूवल भेज सकता था जिसमें अपेक्षित एसेट, मात्रा और प्रोवाइडर एड्रेस मौजूद हो। वह ऑपरेशन अतिरिक्त डिवाइस प्रॉम्प्ट के बिना साइन हो सकता था। 34

हालांकि, इस खामी की सीमाएं महत्वपूर्ण थीं। अप्रूवल पहले से सत्यापित स्वैप-प्रोवाइडर एड्रेस और अपेक्षित मात्रा से जुड़ा था; हमलावर अपनी पसंद के किसी भी एड्रेस या असीमित अलाउंस का इस्तेमाल नहीं कर सकता था। अप्रूव किए गए टोकन को बाद में ले जाने के लिए एक अलग ट्रांजैक्शन की जरूरत होती। अपेक्षित स्वैप पेमेंट भी नहीं आता, इसलिए स्वैप सामान्य रूप से पूरा होने के बजाय विफल हो जाता। यह समस्या सामान्य, गैर-स्वैप अप्रूवल फ्लो पर लागू नहीं थी। Ledger ने LSB-025 को वर्जन 1.22.3 में ठीक किया। 34

हार्डवेयर वॉलेट की सुरक्षा के लिए इसका मतलब

हार्डवेयर वॉलेट निजी चाबियों को अलग और सुरक्षित रख सकता है, फिर भी उसके अलग-अलग ब्लॉकचेन ऐप में ट्रांजैक्शन पार्सिंग, डिस्प्ले लॉजिक या कनेक्टेड सॉफ्टवेयर से डिवाइस तक डेटा पहुंचने की प्रक्रिया से जुड़ी खामियां हो सकती हैं। Ledger के इन मामलों में मुख्य सवाल यह था कि डिवाइस वही ऑपरेशन सही ढंग से दिखा और सत्यापित कर रहा था या नहीं, जिसे वह साइन करने वाला था।

इसीलिए ऐप अपडेट करना हार्डवेयर वॉलेट सुरक्षा का अहम हिस्सा है। Secure Element और निजी कुंजी का अलगाव जरूरी सुरक्षा प्रदान करते हैं, लेकिन वे हर ब्लॉकचेन ऐप के कोड में मौजूद बग को अपने-आप खत्म नहीं करते। Ledger ने अपने जवाब में ऐप अपडेट, SDK को मजबूत करने, लगातार सुरक्षा समीक्षा और सुरक्षा शोध को अपने सुरक्षा मॉडल का हिस्सा बताया। 27 38

फिक्स जारी होने में देरी का सवाल

इन खुलासों से रिलीज मैनेजमेंट पर भी सवाल उठता है। उपलब्ध सुरक्षा-बुलेटिन रिकॉर्ड LSB-024 और LSB-025 के फिक्स को बाद में जारी हुए वर्जन 1.22.3 से अलग-अलग दर्ज करता है, लेकिन उपलब्ध प्रकाशित सामग्री यह स्पष्ट नहीं करती कि फिक्स तैयार होने और यूज़र्स तक पहुंचने के बीच कितना अंतर क्यों रहा। 5 34 37

यह सवाल खामियों के शोषण की संभावना से अलग है। इससे यह साबित नहीं होता कि यूज़र्स के साथ समझौता हुआ था, लेकिन हार्डवेयर वॉलेट ग्राहकों तक सुरक्षा अपडेट कितनी तेजी से पहुंचते हैं, इसे समझने के लिए यह मुद्दा महत्वपूर्ण है।

Ledger यूज़र्स को अभी क्या करना चाहिए?

Ledger Live खोलें और Ethereum ऐप को वर्जन 1.22.3 या उसके बाद के वर्जन पर अपडेट करें।
अपने भौतिक Ledger डिवाइस पर Ethereum ऐप खोलें।
डिवाइस की स्क्रीन पर दिख रहा ऐप वर्जन जांचें।
हर ट्रांजैक्शन को अप्रूव करने से पहले उसके विवरण डिवाइस पर ध्यान से पढ़ें।

सिर्फ डिवाइस का फर्मवेयर अपडेट करना यह सुनिश्चित करने के लिए पर्याप्त नहीं है कि प्रभावित Ethereum ऐप भी बदल दिया गया है। इस मामले में सबसे महत्वपूर्ण जांच Ledger पर इंस्टॉल किए गए Ethereum ऐप के वर्जन की है। 35

Studio Global AI

अपना शोध जारी रखें

इस पृष्ठ में एक स्रोत-समर्थित उत्तर शामिल है जिसे आप Studio Global के अंदर जारी रख सकते हैं।

Studio Global AI के साथ खोजें और तथ्यों की जांच करें

लोग पूछते भी हैं