LedgerのEthereumアプリ脆弱性を整理：OneKeyの再現実験と各アップデートの違い

OneKeyのAnzenチームは、Ledgerの旧版Ethereumアプリ1.22.1を使い、取引の差し替えにつながる脆弱性を実験環境で再現しました。ただし、これは管理下のラボで旧ソフトウェアの挙動を確認したもので、Ledgerの本番環境やユーザーが侵害されたことを示すものではありません。Ledgerは「Ledgerユーザーは誰もハッキングされていない」と説明し、実環境で悪用された証拠は確認していないとしています。31731

一方で、この問題はハードウェアウォレットの安全性を考えるうえで重要な論点を浮き彫りにしました。秘密鍵を端末の外に出さないことだけでなく、端末が画面に表示した取引と、実際に署名する取引が一致しているかどうかも重要です。

OneKeyが再現したLSB-023とは

LedgerがLSB-023として追跡している脆弱性は、端末上で取引を確認している最中に、ホスト側から別のAPDUコマンドを割り込ませられる可能性に関するものでした。

ユーザーが端末画面で取引を確認している間も、署名に使われるパラメーターが共有状態に保持されていたため、画面に表示された後、署名が生成される前に内容が変更される可能性がありました。3

単純化すると、端末には「取引A」が表示されているのに、最終的には「取引B」に署名してしまう可能性があります。OneKeyは旧版のEthereumアプリ1.22.1を使ってこの挙動をラボで再現しました。ただし、これは旧ソフトウェアに悪用可能な経路が存在したことを示すものであり、Ledgerユーザーが実際に攻撃されたことの証明ではありません。172332

Ledgerによると、この脆弱性は社内のセキュリティプロセスで特定され、Ethereumアプリ1.22.2で防御策が導入されました。関連する根本的な問題は、Secure SDK 26.6.1でも対処されたと報じられています。172124

ユーザーはハッキングされたのか

Ledgerの公式見解は明確です。「Ledgerユーザーは誰もハッキングされていない」。報道でも、OneKeyの再現実験に関連する資金流出や既知の被害は確認されていません。172031

ただし、この表現は「実際に悪用された事例を確認していない」という意味で理解するのが適切です。脆弱性のあるバージョンで技術的に悪用可能だったことまで否定するものではありません。ラボでの再現は、必要な条件がそろえばコード経路が機能することを示しますが、犯罪者が現実の環境で利用したことを示すものではありません。

1.22.3で修正された2つの追加問題

Ethereumアプリ1.22.3では、1.22.2の更新後も残っていた別の2件が修正されました。Ledgerのセキュリティ速報では、それぞれLSB-024とLSB-025として掲載されています。46

LSB-024：257件の操作を含むバッチで表示が不完全になる可能性

LSB-024は、クリア署名（clear signing）における整数または操作数の処理に関する問題です。特別に作られた257件の操作を含むバッチを処理すると、端末には最後の操作だけが表示される一方で、署名自体はバッチ全体に対して行われる可能性がありました。

これは、取引確認の完全性が損なわれる問題です。ユーザーの確認操作そのものが不要になるわけではありませんが、画面に表示された情報が、実際に署名するデータ全体を正確に表さなくなります。Ledgerはこの問題を「配列数の切り詰めによるクリア署名のバイパス」と説明しています。46

LSB-025：スワップの支払いがトークン承認に置き換わる可能性

LSB-025は、暗号資産のスワップ処理に関する問題です。侵害されたスワップ提供者が、ユーザーが期待していた支払い処理をトークン承認に置き換えても、端末上で追加の確認を求められない可能性がありました。46

ただし、報告されている範囲では、無制限の利用許可を作成したり、攻撃者が任意に選んだアドレスを承認したりする仕組みではありません。それでも、ユーザーが支払うつもりでいた操作とは異なる承認に署名させられる可能性があり、スワップの想定処理とは明確に異なる問題です。46

なぜLSB-024とLSB-025は1.22.2に含まれなかったのか

今回提供された公開情報によると、2つの脆弱性に関係する変更は、1.22.2のリリースより数カ月前に準備またはマージされていたと報じられています。それにもかかわらず、修正が実際に含まれたのは1.22.3でした。37

ただし、公開資料だけでは、原因がリリースの優先順位、統合作業の不備、テスト、あるいは別の社内判断のどれだったのかを確定できません。現時点で確実に言えるのは、LSB-024とLSB-025の修正は1.22.2に含まれず、正確な理由は公に十分説明されていないという点です。これ以上踏み込んだ断定は、利用できる証拠を超えてしまいます。

更新可能なウォレットの安全モデルが示すもの

Ledgerは、アプリや関連ソフトウェアを更新できる設計そのものがセキュリティ上の利点だと説明しています。脆弱性が見つかった場合、問題を特定し、修正を開発し、アップデートを配布し、その後に技術情報を公開するという流れです。LSB-023は、社内で発見され、修正され、後からセキュリティ速報で説明された事例として位置付けられています。3

この仕組みには、発見されたソフトウェアの問題を恒久的に残さずに済むという利点があります。しかし、ユーザーが実際にアプリを更新して初めて保護が有効になるという運用上の前提もあります。さらに、リリースが遅れたり、関連する修正が一度の更新に含まれなかったりすれば、問題が残る可能性があります。1.22.2と1.22.3の差は、その点を示しています。37

Ledgerユーザーが取るべき対策

1. Ethereumアプリを1.22.3以降へ更新する。 LSB-023へのアプリ側の対策は1.22.2に含まれ、LSB-024とLSB-025は1.22.3で対処されたと報じられています。1737
2. 更新にはLedger LiveとLedgerの公式配布経路を使う。 Ledgerは、Ledger LiveのManagerからEthereumアプリをインストールする手順を案内しています。7
3. 端末に表示される確認内容を毎回読む。 特にスワップで、支払いを想定していたのに「承認」や「Approval」が表示された場合は、処理を中止して拒否してください。
4. 大規模で内容が分かりにくいバッチや、ブラインド署名をできるだけ避ける。 端末上で全データを意味のある形で確認できない操作には慎重さが必要です。
5. 接続先のパソコン、ブラウザー、dApp、スワップ提供者も脅威モデルに含める。 今回の問題は、ホストやサービスとLedgerアプリの通信境界に関係していました。ハードウェアウォレットを使っていても、マルウェア、悪意あるウェブページ、侵害されたdAppやサービスのリスクがなくなるわけではありません。328
6. 影響を受けるバージョンでスワップや承認を行った場合は、トークンの利用許可を確認する。 不要な承認が残っていれば、信頼できるインターフェースから取り消してください。

今回の要点は明快です。OneKeyは、旧版のLedger Ethereumアプリに存在した現実の脆弱性を実験環境で再現しました。しかし、公開情報からは、Ledgerユーザーへの実際の侵害や資金流出は確認されていません。それでも、LSB-024とLSB-025が示すように、最初の修正版へ更新しただけで安全対策が完了するとは限りません。Ledgerユーザーは、少なくともEthereumアプリ1.22.3以降を利用し、署名のたびに端末画面の内容を確認することが重要です。