AnswersPublished19 sources
Błędy aplikacji Ethereum Ledger wyjaśnione: co pokazał test OneKey i co trzeba zrobić
Sierpniowe ujawnienia Ledger dotyczyły trzech luk w aplikacji Ethereum, a nie przejęcia kluczy prywatnych lub oprogramowania sprzętowego; firma nie odnotowała wykorzystania błędów przeciwko użytkownikom. Zespół bezpieczeństwa OneKey odtworzył w laboratorium lukę LSB 023 w nieaktualnej aplikacji Ethereum w wersji 1.2...
Opublikowane przezEdytowane za pomocą GPT-5.6 LunaObrazy wygenerowane za pomocą GPT Image 1.5
Research answer
Key takeaways
- Sierpniowe ujawnienia Ledger dotyczyły trzech luk w aplikacji Ethereum, a nie przejęcia kluczy prywatnych lub oprogramowania sprzętowego; firma nie odnotowała wykorzystania błędów przeciwko użytkownikom.
- Zespół bezpieczeństwa OneKey odtworzył w laboratorium lukę LSB 023 w nieaktualnej aplikacji Ethereum w wersji 1.22.1.
- LSB 024 mogła ukryć część operacji w partii 257 działań podczas clear signing, a LSB 025 pozwalała w określonym scenariuszu zastąpić płatność tokenem zgodą na jego wydanie.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
Sierpniowy incydent bezpieczeństwa Ledgera obejmował trzy luki w aplikacji Ethereum używanej na urządzeniach Ledger. Problemy dotyczyły interpretowania, wyświetlania i zatwierdzania transakcji oraz operacji swap — nie wyciągania kluczy prywatnych ani zgłoszonego przejęcia systemu operacyjnego Ledgera. Firma twierdzi, że nie znalazła dowodów na włamania do portfeli użytkowników ani wykorzystanie tych błędów w rzeczywistych atakach. 35
38
Najważniejsze zalecenie jest proste: zaktualizuj aplikację Ethereum za pośrednictwem Ledger Live do wersji 1.22.3 lub nowszej, a następnie otwórz ją na fizycznym urządzeniu i sprawdź wyświetlany numer wersji. 35
Co odtworzył OneKey
Zespół bezpieczeństwa Anzen firmy OneKey odtworzył lukę LSB-023, czyli wyścig prowadzący do podmiany transakcji, w aplikacji Ethereum w wersji 1.22.1. Test przeprowadzono w kontrolowanych warunkach laboratoryjnych. Luka polegała na tym, że urządzenie mogło przyjąć nowe polecenie APDU, gdy poprzednie nadal oczekiwało na odpowiedź użytkownika. Ponieważ dane transakcji pozostawały w tym czasie we wspólnym stanie aplikacji, parametry widoczne na ekranie mogły różnić się od tych, które ostatecznie zostały podpisane. 2
W praktyce atakujący musiałby kontrolować kanał komunikacji między komputerem a Ledgerem i spróbować podmienić oczekującą transakcję po wyświetleniu prawidłowych danych na urządzeniu. Scenariusz wymagał przejęcia środowiska hosta — na przykład przez złośliwe oprogramowanie lub portfel mający dostęp do urządzenia — a użytkownik nadal musiał zatwierdzić komunikat pokazany na Ledgerze. Nie był to atak umożliwiający wyciągnięcie frazy seed ani kluczy prywatnych. 21
27
Ledger zakwestionował przedstawianie tej demonstracji jako nowego, trwającego włamania. Firma podała, że problem został już naprawiony w wersji 1.22.2 aplikacji Ethereum, wydanej 13 sierpnia, a więc przed publiczną prezentacją OneKey. Szerszą poprawkę wprowadzono również w Secure SDK 26.6.1. 22
35
Dwie kolejne luki w aplikacji Ethereum
LSB-024: partia 257 operacji mogła być wyświetlana niekompletnie
LSB-024 dotyczyła obsługi tablic podczas clear signing, czyli podpisywania, przy którym szczegóły operacji są prezentowane użytkownikowi na ekranie urządzenia. Parser odczytywał liczbę operacji jako wartość 16-bitową, ale pozostałą liczbę przechowywał w polu 8-bitowym. W przypadku partii obejmującej 257 operacji licznik mógł się przepełnić, przez co urządzenie wyświetlało tylko ostatnią operację, mimo że podpis obejmował całą partię. 37
Nie był to uniwersalny atak na każdą transakcję Ethereum. Opisany scenariusz wymagał przejętego hosta, deskryptora clear signing iterującego po danych kontrolowanych przez atakującego oraz kontraktu zdolnego przyjąć i wykonać partię większą niż 255 operacji. Ledger naprawił problem w wersji 1.22.3 aplikacji Ethereum. 37
LSB-025: płatność w ramach swapu mogła stać się zgodą na wydanie tokenów
LSB-025 dotyczyła konkretnego przebiegu wymiany obsługiwanego przez aplikację Exchange. Aplikacja Ethereum sprawdzała adres odbiorcy i oczekiwaną ilość tokenów, ale nie weryfikowała, czy operacja jest rzeczywiście transferem tokenów, a nie zgodą ERC-20 na ich wydanie (approval). Złośliwy lub przejęty dostawca usługi swap mógł więc przesłać zgodę zgodną z oczekiwanym aktywem, kwotą i adresem dostawcy, a następnie doprowadzić do jej podpisania bez kolejnego komunikatu na urządzeniu. 34
To ograniczenie ma znaczenie. Zgoda musiała dotyczyć wcześniej zweryfikowanego adresu dostawcy swapu, oczekiwanego aktywa i konkretnej ilości — nie dowolnego adresu atakującego ani nieograniczonego limitu. Do przeniesienia zatwierdzonych tokenów potrzebna byłaby jeszcze osobna, późniejsza transakcja. Oczekiwana płatność za swap nie zostałaby zrealizowana, więc wymiana zakończyłaby się niepowodzeniem, zamiast potajemnie dojść do skutku. Luka nie dotyczyła zwykłych operacji approval wykonywanych poza ścieżką swapu. Ledger naprawił LSB-025 w wersji 1.22.3. 34
Co ten przypadek mówi o bezpieczeństwie portfeli sprzętowych
Portfel sprzętowy może skutecznie izolować klucze prywatne, a jednocześnie zawierać błędy na poziomie aplikacji — w parserze transakcji, logice wyświetlania lub przekazywaniu danych między podłączonym oprogramowaniem a urządzeniem. W przypadku opisanych luk problemem było to, czy Ledger niezawodnie pokazuje i sprawdza dokładnie tę operację, którą następnie podpisuje.
To właśnie dlatego możliwość aktualizowania aplikacji ma tak duże znaczenie. Bezpieczny element i izolacja kluczy pozostają ważnymi zabezpieczeniami, ale nie eliminują błędów w poszczególnych aplikacjach blockchainowych. Reakcja Ledgera obejmowała aktualizacje aplikacji, wzmocnienie SDK, dalsze przeglądy bezpieczeństwa oraz badania prowadzone przez niezależnych ekspertów. 27
38
Niewyjaśniona kwestia terminów publikacji poprawek
Ujawnienia rodzą także pytanie o zarządzanie wydaniami. Dostępny biuletyn bezpieczeństwa opisuje poprawki dla LSB-024 i LSB-025 oddzielnie od późniejszego wydania wersji 1.22.3, ale opublikowane materiały nie wyjaśniają, ile czasu minęło między przygotowaniem poprawek a udostępnieniem ich użytkownikom. 5
34
37
To pytanie dotyczące terminów jest odrębne od oceny możliwości wykorzystania samych błędów. Nie dowodzi, że doszło do przejęcia środków, ale ma znaczenie dla oceny, jak szybko poprawki bezpieczeństwa trafiają do użytkowników portfeli sprzętowych.
Co powinni zrobić użytkownicy Ledgera
- Otwórz Ledger Live i zaktualizuj aplikację Ethereum do wersji 1.22.3 lub nowszej.
- Uruchom aplikację Ethereum na fizycznym urządzeniu Ledger.
- Sprawdź wersję wyświetlaną bezpośrednio na urządzeniu.
- Nadal dokładnie weryfikuj szczegóły każdej transakcji na ekranie Ledgera przed jej zatwierdzeniem.
Sama aktualizacja oprogramowania sprzętowego urządzenia nie wystarcza, aby potwierdzić, że wymieniona została podatna aplikacja Ethereum. Kluczowe znaczenie ma wersja tej aplikacji zainstalowanej na Ledgerze. 35
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Błędy aplikacji Ethereum Ledger wyjaśnione: co pokazał test OneKey i co trzeba zrobić"?
Sierpniowe ujawnienia Ledger dotyczyły trzech luk w aplikacji Ethereum, a nie przejęcia kluczy prywatnych lub oprogramowania sprzętowego; firma nie odnotowała wykorzystania błędów przeciwko użytkownikom.
What are the key points to validate first?
Sierpniowe ujawnienia Ledger dotyczyły trzech luk w aplikacji Ethereum, a nie przejęcia kluczy prywatnych lub oprogramowania sprzętowego; firma nie odnotowała wykorzystania błędów przeciwko użytkownikom. Zespół bezpieczeństwa OneKey odtworzył w laboratorium lukę LSB 023 w nieaktualnej aplikacji Ethereum w wersji 1.22.1.
What should I do next in practice?
LSB 024 mogła ukryć część operacji w partii 257 działań podczas clear signing, a LSB 025 pozwalała w określonym scenariuszu zastąpić płatność tokenem zgodą na jego wydanie.
Sources
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...