Bug Ledger: Layar Menampilkan Transaksi Asli, Perangkat Bisa Menandatangani Transaksi Berbeda

Aplikasi Ethereum Ledger memiliki celah pada skenario clear signing tertentu. Celah ini berpotensi memungkinkan dApp berbahaya mengganti data transaksi ketika pengguna sedang memeriksa transaksi asli. Dalam skenario yang dikhawatirkan, layar Ledger tetap menampilkan detail yang tampak sah, meski perangkat akhirnya menandatangani permintaan berbeda. 39

Ledger menyatakan tim keamanan internalnya, Donjon, telah menemukan dan memperbaiki masalah tersebut sebelum TestMachine mengungkapkan temuannya secara publik. Patch dirilis melalui aplikasi Ethereum versi 1.22.2 pada 12 Agustus 2026, sedangkan TestMachine mulai mempublikasikan temuannya pada 21 Agustus. 569

Bagaimana serangan penggantian tanda tangan itu bekerja?

Masalah ini berkaitan dengan APDU (Application Protocol Data Unit), yakni pesan yang dipertukarkan antara komputer atau dApp yang terhubung dan aplikasi Ethereum pada perangkat Ledger. Dalam alur clear signing normal, Ledger menerima data transaksi, menampilkan detail penting di layarnya, lalu menunggu persetujuan pengguna.

Menurut riset yang dilaporkan, situs web atau dApp berbahaya yang memiliki akses WebHID dapat mengirim perintah APDU kedua ketika transaksi pertama masih ditinjau. Kondisi ini menciptakan perlombaan antara dua permintaan penandatanganan. Alur yang rentan tidak secara konsisten mengikat transaksi yang tampil di layar dengan satu sesi penandatanganan yang tidak dapat diubah, sehingga membuka jalan bagi penggantian transaksi. 3715

Risikonya bukan sekadar transaksi gagal. Pengguna dapat melihat tindakan yang tampak aman lalu menyetujuinya, sementara perangkat justru menandatangani persetujuan token, transfer, atau permintaan lain yang telah disubstitusi. Hal ini dapat menggagalkan tujuan utama clear signing: memeriksa detail transaksi langsung pada perangkat keras sebelum memberikan otorisasi. 110

Apa yang diperbaiki pada versi 1.22.2?

Pembaruan aplikasi Ethereum Ledger memperbaiki alur penandatanganan yang rentan. Laporan teknis mengenai perubahan kode menyebut versi 1.22.2 mencegah sesi penandatanganan baru menggantikan sesi yang sedang ditinjau. Versi ini juga menolak callback persetujuan ketika status aplikasi tidak lagi sesuai dengan permintaan aktif. 10

CTO Ledger, Charles Guillemet, mengatakan tim Donjon menemukan kerentanan tersebut dengan bantuan perangkat pendeteksi kerentanan berbasis AI dan menerapkan perbaikannya pada 12 Agustus. Laporan mengenai pembaruan itu menyebut catatan rilisnya hanya memuat pemberitahuan singkat tentang perbaikan keamanan, bukan advisori publik yang terperinci. 356

Perbedaan ini penting bagi pengguna. Memasang versi aplikasi terbaru dapat melindungi proses penandatanganan ke depannya, tetapi catatan perubahan yang minim membuat pemilik perangkat tidak memperoleh banyak informasi tentang apa yang diperbaiki atau apakah mereka perlu segera bertindak.

Pengungkapan TestMachine dan Azimuth

TestMachine mengatakan agen AI-nya, Azimuth, menemukan masalah tersebut melalui pemindaian otonom. Tim itu juga menyatakan telah memvalidasi perilakunya pada Ledger Flex. Dalam unggahan yang dipublikasikan pada 21–23 Agustus, TestMachine menjelaskan bagaimana dApp berbahaya dapat mengirim perintah APDU secara bersamaan ketika pengguna sedang meninjau transaksi. TestMachine juga menyampaikan klaim luas bahwa masalah ini berdampak pada setiap Ledger yang menjalankan aplikasi Ethereum. 4715

Pengungkapan publik itu menarik perhatian terhadap kerentanan yang menurut Ledger sebenarnya telah diperbaiki. TestMachine menyatakan menolak hadiah bug, sementara Ledger membantah cara komunikasi dan urutan pengungkapan tersebut berlangsung. 1612

Mengapa Ledger dan TestMachine berselisih?

Perselisihan utamanya menyangkut kronologi penemuan dan pengungkapan secara privat, bukan keberadaan patch-nya.

Menurut posisi Ledger yang disampaikan Guillemet, Donjon menemukan celah tersebut, memperbaikinya, dan merilis koreksi sekitar dua minggu sebelum TestMachine mempublikasikan temuannya. Guillemet mengkritik pengungkapan itu karena dinilai menimbulkan kepanikan yang tidak perlu, sementara masalahnya sudah ditangani. 6712

TestMachine menyatakan Azimuth menemukan dan memvalidasi kerentanan itu secara independen. Perusahaan tersebut juga menilai rilis patch secara diam-diam tidak memberikan peringatan yang berarti kepada pengguna. Unggahan publik TestMachine menekankan skenario serangan serta luasnya klaim dampak. 715

Laporan yang tersedia mendukung tanggal patch 12 Agustus dan tanggal unggahan publik pada 21–23 Agustus. Namun, laporan tersebut belum secara independen menetapkan tanggal pasti penemuan privat, komunikasi pengungkapan, atau kronologi lengkap dari kedua pihak. Detail itu sebaiknya dipahami sebagai pernyataan yang saling bersaing, bukan fakta yang sudah sepenuhnya dipastikan. 56912

Perangkat Ledger mana yang mungkin terdampak?

Klaim luas TestMachine didasarkan pada penggunaan bersama kode aplikasi Ethereum dan komponen penandatanganan. Namun, validasi langsung yang dilaporkan dilakukan pada Ledger Flex. Sejumlah lini perangkat modern yang disebut mungkin berbagi kode terkait antara lain Nano S Plus, Nano X, Stax, dan Flex. 2720

Hal tersebut belum menjadi bukti independen dan lengkap bahwa eksploitasi telah diperagakan pada setiap model Ledger. Per 24 Agustus, klaim “setiap Ledger” masih merupakan klaim peneliti, bukan hasil yang telah dibuktikan sepenuhnya lintas perangkat. Pengguna perlu membedakan antara jalur perangkat lunak yang kemungkinan dipakai bersama dan eksploitasi yang telah direproduksi secara publik pada tiap lini perangkat.

Apakah ada dana pengguna yang dicuri?

Per 24 Agustus 2026, belum ada laporan pencurian yang diverifikasi secara independen dan secara spesifik dikaitkan dengan kerentanan ini. Belum ada pula demonstrasi publik lengkap yang mengonfirmasi dampaknya pada semua perangkat Ledger yang diklaim terdampak. 25614

Pernyataan tersebut menggambarkan bukti yang tersedia pada waktu itu, bukan bukti bahwa celah tersebut tidak pernah dieksploitasi. Kerentanannya tetap serius karena berpotensi mengalahkan mekanisme peninjauan transaksi yang menjadi andalan pengguna, meskipun kerugian yang terkonfirmasi belum muncul dalam laporan yang tersedia.

Apa yang perlu dilakukan pengguna Ledger?

Buka Ledger Live, lalu perbarui aplikasi Ethereum ke versi 1.22.2 atau yang lebih baru. Firmware Ledger dan aplikasi lain yang terpasang juga sebaiknya selalu diperbarui. Untuk celah penandatanganan ini, perbaikan yang relevan adalah pembaruan aplikasi Ethereum, bukan sekadar pembaruan firmware. 515

Setelah memperbarui perangkat, tetap periksa detail transaksi langsung di layar Ledger sebelum menyetujuinya. Pastikan penerima, jumlah, dan tindakan kontrak yang ditampilkan sudah benar. Pembaruan tersebut menutup jalur penggantian sesi yang dilaporkan, tetapi pemeriksaan transaksi secara cermat tetap menjadi praktik keamanan yang penting.