AnswersPublished19 sources
Pepijat Aplikasi Ethereum Ledger: Apa Berlaku dan Apa Perlu Dilakukan Pengguna
Pendedahan Ledger pada Ogos 2026 melibatkan tiga kelemahan dalam aplikasi Ethereum, bukan kecurian kunci peribadi atau kompromi sistem pengendalian; Ledger berkata tiada bukti pengguna dieksploitasi. Pasukan keselamatan Anzen OneKey menghasilkan semula LSB 023 pada aplikasi versi 1.22.1 dalam ujian makmal terkawal.
Diterbitkan olehDisunting dengan GPT-5.6 LunaImej dijana dengan GPT Image 1.5
Research answer
Key takeaways
- Pendedahan Ledger pada Ogos 2026 melibatkan tiga kelemahan dalam aplikasi Ethereum, bukan kecurian kunci peribadi atau kompromi sistem pengendalian; Ledger berkata tiada bukti pengguna dieksploitasi.
- Pasukan keselamatan Anzen OneKey menghasilkan semula LSB 023 pada aplikasi versi 1.22.1 dalam ujian makmal terkawal.
- LSB 024 boleh menyembunyikan operasi dalam kelompok tandatangan jelas yang mengandungi 257 operasi, manakala LSB 025 boleh menukar bayaran token kepada kelulusan token dalam keadaan yang terhad.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
Episod keselamatan Ledger pada Ogos 2026 melibatkan tiga kelemahan dalam aplikasi Ethereum yang digunakan pada peranti Ledger. Isunya berkaitan cara transaksi dan operasi swap dihuraikan, dipaparkan atau diluluskan — bukannya pengeluaran kunci peribadi pengguna atau kompromi sistem pengendalian Ledger. Ledger berkata tiada bukti pengguna digodam atau kelemahan tersebut dieksploitasi secara aktif. 35
38
Langkah paling penting untuk pengguna adalah mudah: kemas kini aplikasi Ethereum melalui Ledger Live kepada versi 1.22.3 atau lebih baharu, kemudian buka aplikasi itu pada peranti Ledger dan semak versi yang dipasang. 35
Apa yang dihasilkan semula oleh OneKey
Pasukan keselamatan Anzen milik OneKey menghasilkan semula LSB-023, iaitu keadaan perlumbaan yang boleh menggantikan transaksi, terhadap aplikasi Ethereum versi 1.22.1 dalam ujian makmal terkawal. Kelemahan ini berlaku apabila peranti menerima arahan APDU baharu ketika arahan sebelumnya masih menunggu respons pengguna.
Oleh sebab data transaksi disimpan dalam keadaan bersama sepanjang pengguna menyemak paparan pada skrin, butiran yang dilihat pengguna boleh berbeza daripada butiran yang akhirnya ditandatangani. 2
Secara praktikal, penyerang yang mengawal saluran komunikasi antara komputer hos dan Ledger boleh cuba menggantikan transaksi yang sedang menunggu kelulusan selepas transaksi asal dipaparkan pada peranti. Senario ini memerlukan persekitaran hos yang telah dikompromi — contohnya perisian hasad atau kod dompet yang mempunyai akses kepada peranti — dan pengguna masih perlu meluluskan arahan yang dipaparkan pada Ledger. Ini bukan serangan untuk mendapatkan seed atau kunci peribadi. 21
27
Ledger menolak gambaran bahawa kejadian itu merupakan penggodaman baharu yang berlaku secara langsung. Syarikat itu berkata isu berkenaan telah dibaiki dalam aplikasi Ethereum versi 1.22.2, yang dikeluarkan pada 13 Ogos, sebelum demonstrasi awam OneKey. Ledger turut mengenal pasti mitigasi yang lebih menyeluruh dalam Secure SDK versi 26.6.1. 22
35
Dua kelemahan aplikasi Ethereum yang lain
LSB-024: kelompok 257 operasi boleh dipaparkan secara tidak lengkap
LSB-024 menjejaskan cara aplikasi Ethereum mengendalikan tatasusunan semasa proses tandatangan jelas (clear signing). Penghurai membaca jumlah operasi sebagai nilai 16-bit, tetapi menyimpan baki jumlah itu dalam medan 8-bit. Dalam kelompok yang mengandungi 257 operasi, nilai tersebut boleh berulang semula sehingga peranti hanya memaparkan operasi terakhir, walaupun tandatangan meliputi keseluruhan kelompok. 37
Ini bukan serangan umum terhadap setiap transaksi Ethereum. Keadaan yang diperlukan termasuk hos yang telah dikompromi, deskriptor tandatangan jelas yang mengulangi data dikawal penyerang, serta kontrak yang boleh menerima dan melaksanakan kelompok melebihi 255 operasi. Ledger membaiki isu ini dalam aplikasi Ethereum versi 1.22.3. 37
LSB-025: bayaran swap boleh bertukar menjadi kelulusan token
LSB-025 menjejaskan aliran swap tertentu yang melibatkan aplikasi Exchange. Aplikasi Ethereum menyemak alamat destinasi dan jumlah aset yang dijangka untuk swap, tetapi tidak mengesahkan sama ada operasi itu benar-benar pemindahan token atau kelulusan ERC-20.
Akibatnya, penyedia swap yang berniat jahat atau telah dikompromi boleh menghantar permintaan kelulusan yang sepadan dengan aset, jumlah dan alamat penyedia yang dijangka, lalu mendapatkan tandatangan tanpa paparan pengesahan kedua pada peranti. 34
Namun, skop kelemahan ini adalah terhad. Kelulusan tersebut mesti terikat pada alamat penyedia swap yang telah disahkan dan jumlah yang dijangka — bukannya alamat penyerang secara sewenang-wenangnya atau elaun tanpa had. Transaksi berasingan masih diperlukan untuk memindahkan token yang diluluskan. Pada masa yang sama, bayaran swap yang sepatutnya tidak akan diterima, menyebabkan swap gagal dan bukannya selesai seperti biasa. Aliran kelulusan biasa yang tidak melibatkan swap tidak terjejas. Ledger membaiki LSB-025 dalam versi 1.22.3. 34
Apa maknanya kepada keselamatan dompet perkakasan
Dompet perkakasan boleh mengasingkan kunci peribadi daripada komputer, tetapi aplikasi di dalamnya masih boleh mempunyai kelemahan pada penghurai transaksi, logik paparan atau proses serahan antara perisian yang disambungkan dengan peranti.
Kes Ledger ini tertumpu pada persoalan asas: adakah peranti benar-benar memaparkan dan mengesahkan operasi yang akan ditandatanganinya?
Perbezaan ini menjelaskan mengapa keupayaan untuk menerima kemas kini sangat penting. Elemen selamat dan pengasingan kunci peribadi kekal sebagai perlindungan utama, tetapi kedua-duanya tidak menghapuskan kemungkinan pepijat dalam aplikasi blok rantai tertentu. Respons Ledger menekankan kemas kini aplikasi, pengukuhan SDK, semakan keselamatan berterusan dan penyelidikan kerentanan sebagai sebahagian daripada model keselamatan dompet perkakasan. 27
38
Persoalan tentang masa pelepasan pembaikan
Pendedahan ini turut menimbulkan persoalan mengenai pengurusan pelepasan perisian. Rekod buletin keselamatan yang tersedia mengenal pasti pembaikan LSB-024 dan LSB-025 secara berasingan daripada pelepasan versi 1.22.3, tetapi bahan yang diterbitkan dalam konteks ini tidak menjelaskan tempoh antara pembaikan disediakan dengan pembaikan tersebut tersedia kepada pengguna. 5
34
37
Persoalan masa ini berbeza daripada persoalan sama ada pepijat boleh dieksploitasi. Ia tidak membuktikan bahawa pengguna telah dikompromi, tetapi tetap penting untuk menilai sejauh mana pantas pembaikan keselamatan sampai kepada pelanggan dompet perkakasan.
Apa yang perlu dilakukan pengguna Ledger sekarang
- Buka Ledger Live dan kemas kini aplikasi Ethereum kepada versi 1.22.3 atau lebih baharu.
- Buka aplikasi Ethereum pada peranti Ledger fizikal.
- Semak versi yang dipaparkan pada peranti itu sendiri.
- Terus teliti butiran transaksi pada peranti sebelum meluluskannya.
Mengemas kini perisian tegar sahaja tidak mencukupi untuk mengesahkan bahawa aplikasi Ethereum yang terjejas telah digantikan. Perlindungan yang berkaitan secara langsung ialah versi aplikasi Ethereum yang dipasang pada Ledger. 35
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Pepijat Aplikasi Ethereum Ledger: Apa Berlaku dan Apa Perlu Dilakukan Pengguna"?
Pendedahan Ledger pada Ogos 2026 melibatkan tiga kelemahan dalam aplikasi Ethereum, bukan kecurian kunci peribadi atau kompromi sistem pengendalian; Ledger berkata tiada bukti pengguna dieksploitasi.
What are the key points to validate first?
Pendedahan Ledger pada Ogos 2026 melibatkan tiga kelemahan dalam aplikasi Ethereum, bukan kecurian kunci peribadi atau kompromi sistem pengendalian; Ledger berkata tiada bukti pengguna dieksploitasi. Pasukan keselamatan Anzen OneKey menghasilkan semula LSB 023 pada aplikasi versi 1.22.1 dalam ujian makmal terkawal.
What should I do next in practice?
LSB 024 boleh menyembunyikan operasi dalam kelompok tandatangan jelas yang mengandungi 257 operasi, manakala LSB 025 boleh menukar bayaran token kepada kelulusan token dalam keadaan yang terhad.
Sources
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...