JawabanDipublikasikan19 sumber
Bug Aplikasi Ethereum Ledger Terungkap: Apa yang Terjadi dan Apa yang Harus Dilakukan Pengguna
Pengungkapan Ledger pada Agustus 2026 mencakup tiga celah di aplikasi Ethereum, bukan kompromi kunci privat atau firmware. Tim keamanan OneKey mereproduksi LSB 023 pada aplikasi Ethereum versi lama, 1.22.1, dalam pengujian laboratorium terkontrol.
Diterbitkan olehDiedit dengan GPT-5.6 LunaGambar dibuat dengan GPT Image 1.5
Jawaban penelitian
Poin-poin penting
- Pengungkapan Ledger pada Agustus 2026 mencakup tiga celah di aplikasi Ethereum, bukan kompromi kunci privat atau firmware.
- Tim keamanan OneKey mereproduksi LSB 023 pada aplikasi Ethereum versi lama, 1.22.1, dalam pengujian laboratorium terkontrol.
- LSB 024 dapat menyembunyikan sebagian operasi dalam batch clear signing berisi 257 operasi, sedangkan LSB 025 dapat mengganti pembayaran token dengan persetujuan token dalam kondisi swap yang terbatas.
AI Perintah
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
Episode keamanan Ledger pada Agustus 2026 berpusat pada tiga kerentanan di aplikasi Ethereum yang berjalan pada perangkat Ledger. Masalahnya berkaitan dengan cara transaksi dan operasi swap diproses, ditampilkan, atau disetujui—bukan pencurian kunci privat pengguna maupun laporan kompromi sistem operasi Ledger. Ledger menyatakan tidak menemukan bukti bahwa pengguna diretas atau celah tersebut telah dieksploitasi di dunia nyata. 35
38
Langkah praktis bagi pengguna cukup jelas: buka Ledger Live dan perbarui aplikasi Ethereum ke versi 1.22.3 atau lebih baru. Setelah itu, buka aplikasi Ethereum pada perangkat Ledger dan pastikan versinya sesuai dengan yang terpasang. 35
Apa yang direproduksi OneKey?
Tim keamanan Anzen dari OneKey mereproduksi LSB-023, yaitu kondisi balapan (race condition) yang memungkinkan penggantian transaksi, terhadap aplikasi Ethereum versi 1.22.1 dalam pengujian laboratorium terkontrol. Celah ini muncul ketika perangkat menerima perintah APDU baru saat perintah sebelumnya masih menunggu respons pengguna.
Karena data transaksi tetap berada dalam status bersama selama pengguna meninjau informasi di layar, parameter yang ditampilkan dapat berbeda dari parameter yang akhirnya ditandatangani perangkat. 2
Secara praktis, penyerang yang mengendalikan jalur komunikasi antara komputer pengguna dan Ledger dapat mencoba mengganti transaksi yang sedang menunggu persetujuan setelah transaksi asli tampil di perangkat. Namun, skenario ini memerlukan lingkungan komputer yang sudah disusupi—misalnya oleh malware atau aplikasi dompet yang memiliki akses ke perangkat—dan pengguna tetap harus menyetujui permintaan yang muncul di Ledger. Ini bukan serangan untuk mengambil seed phrase atau kunci privat. 21
27
Ledger membantah penyebutan insiden tersebut sebagai peretasan baru yang sedang berlangsung. Perusahaan mengatakan celah itu telah diperbaiki dalam aplikasi Ethereum versi 1.22.2, yang dirilis pada 13 Agustus, sebelum demonstrasi OneKey dipublikasikan. Ledger juga menyebut mitigasi yang lebih luas di Secure SDK versi 26.6.1. 22
35
Dua celah lain pada aplikasi Ethereum
LSB-024: batch 257 operasi dapat ditampilkan secara tidak lengkap
LSB-024 memengaruhi cara aplikasi Ethereum menangani array saat proses clear signing, yakni ketika rincian transaksi ditampilkan agar pengguna bisa memeriksanya di perangkat.
Parser membaca jumlah operasi sebagai nilai 16-bit, tetapi menyimpan jumlah tersisa dalam bidang 8-bit. Pada batch berisi 257 operasi, nilai tersebut dapat kembali ke angka awal sehingga perangkat hanya menampilkan operasi terakhir, meskipun tanda tangan mencakup seluruh batch. 37
Ini bukan serangan umum terhadap setiap transaksi Ethereum. Kondisinya relatif khusus: diperlukan komputer yang telah disusupi, deskriptor clear signing yang melakukan iterasi atas data yang dikendalikan penyerang, serta kontrak yang mampu menerima dan menjalankan batch berisi lebih dari 255 operasi. Ledger memperbaiki masalah ini dalam aplikasi Ethereum versi 1.22.3. 37
LSB-025: pembayaran swap dapat berubah menjadi persetujuan token
LSB-025 memengaruhi alur swap tertentu yang melibatkan aplikasi Exchange. Aplikasi Ethereum memeriksa alamat tujuan dan jumlah aset yang diharapkan untuk swap, tetapi tidak memastikan bahwa operasi tersebut benar-benar merupakan transfer token, bukan persetujuan ERC-20.
Akibatnya, penyedia layanan swap yang berbahaya atau telah disusupi dapat mengirim permintaan persetujuan token yang cocok dengan aset, jumlah, dan alamat penyedia yang diharapkan. Permintaan itu kemudian dapat ditandatangani tanpa konfirmasi kedua di perangkat. 34
Namun, ruang lingkup celah ini terbatas. Persetujuan tersebut harus terkait dengan alamat penyedia swap yang sudah divalidasi dan jumlah yang telah diharapkan—bukan alamat penyerang yang dipilih secara bebas atau izin tanpa batas. Transaksi terpisah tetap diperlukan untuk memindahkan token yang telah disetujui. Sementara itu, pembayaran swap yang semestinya tidak akan diterima, sehingga swap gagal alih-alih selesai secara normal. Celah ini juga tidak memengaruhi alur persetujuan biasa di luar swap. Ledger memperbaiki LSB-025 dalam versi 1.22.3. 34
Mengapa hal ini penting bagi keamanan hardware wallet?
Hardware wallet dapat menjaga kunci privat tetap terisolasi, tetapi aplikasi di dalamnya masih bisa memiliki kelemahan pada parser transaksi, logika tampilan, atau proses serah-terima antara perangkat lunak yang terhubung dan perangkat fisik.
Kasus Ledger ini terutama menyangkut pertanyaan mendasar: apakah perangkat benar-benar menampilkan dan memvalidasi operasi yang kemudian ditandatanganinya?
Perbedaan ini menjelaskan mengapa kemampuan untuk memperbarui aplikasi sangat penting. Secure element dan isolasi kunci privat tetap menjadi lapisan perlindungan utama, tetapi keduanya tidak menghapus kemungkinan adanya bug pada aplikasi blockchain tertentu. Respons Ledger menekankan pembaruan aplikasi, penguatan SDK, peninjauan keamanan berkelanjutan, dan riset kerentanan sebagai bagian dari model keamanan hardware wallet. 27
38
Pertanyaan tentang jeda waktu rilis
Pengungkapan ini juga menimbulkan pertanyaan mengenai manajemen rilis. Catatan buletin keamanan yang tersedia memisahkan perbaikan LSB-024 dan LSB-025 dari rilis versi 1.22.3, tetapi materi yang disediakan tidak menjelaskan jeda antara saat perbaikan disiapkan dan saat perbaikan tersebut tersedia bagi pengguna. 5
34
37
Pertanyaan soal waktu rilis berbeda dari pertanyaan apakah celah itu dapat dieksploitasi. Jeda tersebut tidak membuktikan bahwa pengguna telah disusupi, tetapi tetap relevan untuk menilai seberapa cepat perbaikan keamanan sampai ke tangan pelanggan hardware wallet.
Apa yang harus dilakukan pengguna Ledger sekarang?
- Buka Ledger Live dan perbarui aplikasi Ethereum ke versi 1.22.3 atau lebih baru.
- Buka aplikasi Ethereum pada perangkat Ledger fisik.
- Periksa versi yang ditampilkan langsung di perangkat.
- Tetap tinjau rincian transaksi dengan cermat pada layar perangkat sebelum menyetujuinya.
Memperbarui firmware saja tidak cukup untuk memastikan aplikasi Ethereum yang terdampak sudah diganti. Perlindungan yang relevan adalah versi aplikasi Ethereum yang terpasang pada perangkat Ledger. 35
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Orang-orang juga bertanya
Apa jawaban singkat untuk "Bug Aplikasi Ethereum Ledger Terungkap: Apa yang Terjadi dan Apa yang Harus Dilakukan Pengguna"?
Pengungkapan Ledger pada Agustus 2026 mencakup tiga celah di aplikasi Ethereum, bukan kompromi kunci privat atau firmware.
Apa poin penting yang harus divalidasi terlebih dahulu?
Pengungkapan Ledger pada Agustus 2026 mencakup tiga celah di aplikasi Ethereum, bukan kompromi kunci privat atau firmware. Tim keamanan OneKey mereproduksi LSB 023 pada aplikasi Ethereum versi lama, 1.22.1, dalam pengujian laboratorium terkontrol.
Apa yang harus saya lakukan selanjutnya dalam latihan?
LSB 024 dapat menyembunyikan sebagian operasi dalam batch clear signing berisi 257 operasi, sedangkan LSB 025 dapat mengganti pembayaran token dengan persetujuan token dalam kondisi swap yang terbatas.
Sumber
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...