AnswersPublished19 sources
Ledger, i bug dell’app Ethereum spiegati: il test di OneKey, le correzioni e cosa fare
Le segnalazioni di agosto 2026 riguardavano tre vulnerabilità dell’app Ethereum, non una compromissione delle chiavi private o del firmware; Ledger afferma di non avere prove di attacchi agli utenti. OneKey ha riprodotto in laboratorio la vulnerabilità LSB 023 sulla versione obsoleta 1.22.1 dell’app Ethereum.
Pubblicato daModificato con GPT-5.6 LunaImmagini generate con GPT Image 1.5
Research answer
Key takeaways
- Le segnalazioni di agosto 2026 riguardavano tre vulnerabilità dell’app Ethereum, non una compromissione delle chiavi private o del firmware; Ledger afferma di non avere prove di attacchi agli utenti.
- OneKey ha riprodotto in laboratorio la vulnerabilità LSB 023 sulla versione obsoleta 1.22.1 dell’app Ethereum.
- LSB 024 poteva nascondere operazioni in un batch di clear signing da 257 elementi, mentre LSB 025 poteva sostituire un pagamento con un’approvazione di token in uno specifico flusso di swap.
- Ledger raccomanda di installare tramite Ledger Live l’app Ethereum versione 1.22.3 o successiva e di verificare la versione direttamente sul dispositivo.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
In breve: non è stata segnalata un’esfiltrazione delle chiavi
L’episodio di sicurezza di Ledger dell’agosto 2026 ha coinvolto tre vulnerabilità nell’app Ethereum utilizzata dai dispositivi Ledger. I problemi riguardavano il modo in cui alcune transazioni e operazioni di swap venivano analizzate, mostrate o approvate, non l’estrazione delle chiavi private degli utenti né una compromissione dichiarata del sistema operativo di Ledger. L’azienda afferma di non avere trovato prove di utenti violati o di sfruttamento delle falle nel mondo reale. 35
38
La misura più importante per gli utenti è semplice: aggiornare tramite Ledger Live l’app Ethereum alla versione 1.22.3 o successiva, quindi aprire l’app sul dispositivo fisico e controllare la versione installata direttamente sullo schermo. 35
Cosa ha riprodotto OneKey
Il team di sicurezza Anzen di OneKey ha riprodotto la vulnerabilità LSB-023, una condizione di gara che poteva consentire la sostituzione di una transazione, contro la versione 1.22.1 dell’app Ethereum. Il test è stato condotto in laboratorio e in condizioni controllate.
Il problema nasceva dalla possibilità che il dispositivo accettasse un nuovo comando APDU mentre un comando precedente era ancora in attesa della risposta dell’utente. Durante la revisione sullo schermo, i dati della transazione rimanevano in uno stato condiviso: di conseguenza, i parametri mostrati potevano non coincidere con quelli firmati alla fine. 2
In pratica, un aggressore in grado di controllare il canale di comunicazione tra il computer e il Ledger avrebbe potuto tentare di sostituire una transazione già visualizzata durante l’attesa dell’approvazione. Lo scenario richiedeva però un ambiente host compromesso, per esempio da malware o da un software wallet con accesso al dispositivo, e l’utente doveva comunque approvare la richiesta mostrata sul Ledger. Non si trattava di un attacco finalizzato a recuperare il seed o le chiavi private. 21
27
Ledger ha contestato la descrizione dell’episodio come un nuovo attacco in corso. Secondo l’azienda, il problema era già stato corretto nella versione 1.22.2 dell’app Ethereum, rilasciata il 13 agosto, prima della dimostrazione pubblica di OneKey. Ledger ha inoltre indicato una mitigazione più ampia nel Secure SDK 26.6.1. 22
35
Le altre due vulnerabilità dell’app Ethereum
LSB-024: un batch da 257 operazioni poteva essere visualizzato solo in parte
La vulnerabilità LSB-024 riguardava la gestione degli array durante il clear signing, cioè la modalità in cui il dispositivo mostra in modo leggibile i dettagli dell’operazione da firmare.
Il parser leggeva il numero di operazioni come valore a 16 bit, ma memorizzava il numero rimanente in un campo a 8 bit. Con un batch di 257 operazioni, il conteggio poteva quindi andare in overflow: il dispositivo mostrava soltanto l’operazione finale, mentre la firma autorizzava l’intero batch. 37
Non era un attacco applicabile indistintamente a ogni transazione Ethereum. Le condizioni descritte comprendevano un host compromesso, un descrittore di clear signing che iterasse su dati controllati dall’aggressore e un contratto capace di accettare ed eseguire un batch con più di 255 operazioni. Ledger ha corretto il problema nella versione 1.22.3 dell’app Ethereum. 37
LSB-025: un pagamento di swap poteva trasformarsi in un’approvazione di token
La vulnerabilità LSB-025 interessava un flusso specifico di swap che coinvolgeva l’app Exchange. L’app Ethereum verificava l’indirizzo di destinazione e la quantità attesa per lo swap, ma non controllava che l’operazione fosse effettivamente un trasferimento di token e non un’operazione di approvazione ERC-20.
Un provider di swap malevolo o compromesso avrebbe quindi potuto inviare un’approvazione con lo stesso asset, lo stesso importo e lo stesso indirizzo del provider già verificato, ottenendo la firma senza una seconda richiesta di conferma sul dispositivo. 34
I limiti della vulnerabilità sono importanti. L’approvazione non poteva essere indirizzata liberamente a un indirizzo scelto dall’aggressore e non prevedeva un’autorizzazione illimitata: doveva corrispondere all’indirizzo del provider e alla quantità attesa per lo swap. Per trasferire i token approvati sarebbe stata inoltre necessaria una transazione separata. Il pagamento previsto non sarebbe arrivato, facendo fallire lo swap invece di portarlo a termine normalmente. Il problema non riguardava i normali flussi di approvazione al di fuori degli swap. Ledger ha corretto LSB-025 nella versione 1.22.3. 34
Cosa insegna il caso sulla sicurezza dei portafogli hardware
Un hardware wallet può mantenere isolate le chiavi private e, allo stesso tempo, contenere vulnerabilità a livello applicativo. Il parser di una blockchain, la logica che visualizza i dati o il passaggio di informazioni tra il software collegato e il dispositivo possono infatti presentare errori.
Nel caso Ledger, il punto centrale era la capacità del dispositivo di mostrare e verificare in modo affidabile esattamente l’operazione che stava per firmare.
È anche per questo che la possibilità di aggiornare le applicazioni è una componente essenziale della sicurezza. L’elemento sicuro e l’isolamento delle chiavi restano protezioni fondamentali, ma non eliminano automaticamente i bug nelle singole app blockchain. Ledger ha indicato come parti del proprio modello di sicurezza gli aggiornamenti delle applicazioni, il rafforzamento dell’SDK, le verifiche continuative e la ricerca sulle vulnerabilità. 27
38
Il nodo ancora poco chiaro sulle tempistiche
Le segnalazioni di sicurezza identificano separatamente le correzioni per LSB-024 e LSB-025 e la successiva disponibilità della versione 1.22.3. Il materiale pubblicato considerato qui, però, non spiega in modo dettagliato l’intervallo tra la preparazione delle correzioni e la loro distribuzione agli utenti. 5
34
37
La questione delle tempistiche è distinta dalla possibilità concreta di sfruttare le vulnerabilità. Non dimostra che gli utenti siano stati compromessi, ma resta rilevante per valutare quanto rapidamente le patch di sicurezza arrivino ai possessori di hardware wallet.
Cosa devono fare ora gli utenti Ledger
- Aprire Ledger Live e aggiornare l’app Ethereum alla versione 1.22.3 o successiva.
- Aprire l’app Ethereum sul dispositivo Ledger fisico.
- Controllare la versione indicata direttamente dal dispositivo.
- Continuare a esaminare con attenzione i dettagli delle transazioni sul Ledger prima di approvarle.
Aggiornare soltanto il firmware del dispositivo non basta a verificare che l’app Ethereum interessata sia stata sostituita. La protezione rilevante, in questo caso, è la versione dell’app Ethereum installata sul Ledger. 35
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Ledger, i bug dell’app Ethereum spiegati: il test di OneKey, le correzioni e cosa fare"?
Le segnalazioni di agosto 2026 riguardavano tre vulnerabilità dell’app Ethereum, non una compromissione delle chiavi private o del firmware; Ledger afferma di non avere prove di attacchi agli utenti.
What are the key points to validate first?
Le segnalazioni di agosto 2026 riguardavano tre vulnerabilità dell’app Ethereum, non una compromissione delle chiavi private o del firmware; Ledger afferma di non avere prove di attacchi agli utenti. OneKey ha riprodotto in laboratorio la vulnerabilità LSB 023 sulla versione obsoleta 1.22.1 dell’app Ethereum.
What should I do next in practice?
LSB 024 poteva nascondere operazioni in un batch di clear signing da 257 elementi, mentre LSB 025 poteva sostituire un pagamento con un’approvazione di token in uno specifico flusso di swap.
Sources
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...