RespostasPublicado19 fontes
Falhas no app Ethereum da Ledger: o que a reprodução da OneKey revelou e como se proteger
As falhas divulgadas pela Ledger em agosto de 2026 afetaram o app Ethereum, não as chaves privadas nem o sistema operacional dos dispositivos; a empresa diz não ter encontrado evidências de exploração contra usuários. A OneKey reproduziu em laboratório a LSB 023 na versão 1.22.1, uma condição que poderia fazer o dis...
Publicado porEditado com GPT-5.6 LunaImagens geradas com GPT Image 1.5
Resposta de pesquisa
Principais conclusões
- As falhas divulgadas pela Ledger em agosto de 2026 afetaram o app Ethereum, não as chaves privadas nem o sistema operacional dos dispositivos; a empresa diz não ter encontrado evidências de exploração contra usuários.
- A OneKey reproduziu em laboratório a LSB 023 na versão 1.22.1, uma condição que poderia fazer o dispositivo assinar parâmetros diferentes dos exibidos na tela.
- A LSB 024 podia ocultar operações em um lote de 257 itens durante a assinatura clara, enquanto a LSB 025 podia substituir um pagamento de swap por uma aprovação de token em condições específicas.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
A polêmica envolvendo a Ledger em agosto de 2026 não foi causada por uma extração de chaves privadas nem por uma invasão do sistema operacional dos dispositivos. O episódio envolveu três vulnerabilidades no aplicativo Ethereum instalado nos dispositivos da empresa — problemas que afetavam a interpretação, a exibição ou a aprovação de operações. A Ledger afirma não ter encontrado evidências de que usuários tenham sido hackeados ou de que as falhas tenham sido exploradas no mundo real. 35
38
A orientação prática é atualizar o app Ethereum pelo Ledger Live para a versão 1.22.3 ou posterior. Depois, o usuário deve abrir o aplicativo no dispositivo físico e conferir a versão instalada diretamente na tela do Ledger. 35
O que a OneKey reproduziu
A equipe de segurança Anzen, da OneKey, reproduziu a vulnerabilidade LSB-023 contra a versão 1.22.1 do app Ethereum em um teste controlado de laboratório. O problema era uma condição de corrida: o dispositivo podia aceitar um novo comando APDU enquanto ainda aguardava a resposta do usuário a um comando anterior.
Como os dados da transação permaneciam em um estado compartilhado durante a revisão na tela, os parâmetros exibidos ao usuário poderiam ser diferentes daqueles que seriam efetivamente assinados. 2
Na prática, um invasor que controlasse o caminho de comunicação entre o computador e o Ledger poderia tentar substituir uma transação pendente depois que a operação legítima já tivesse aparecido no dispositivo. O cenário exigia um ambiente comprometido — por exemplo, malware ou uma carteira com acesso ao dispositivo — e ainda dependia de o usuário aprovar o aviso mostrado no Ledger. Não se tratava de um ataque para extrair a frase-semente ou as chaves privadas. 21
27
A Ledger contestou a caracterização do episódio como um novo ataque em andamento. Segundo a empresa, o problema já havia sido corrigido no app Ethereum 1.22.2, lançado em 13 de agosto, antes da demonstração pública da OneKey. A companhia também identificou uma correção mais ampla no Secure SDK 26.6.1. 22
35
As duas falhas adicionais corrigidas na versão 1.22.3
LSB-024: um lote de 257 operações podia ser exibido de forma incompleta
A LSB-024 afetava o tratamento de listas de operações durante a chamada clear signing, ou assinatura clara — processo em que os detalhes da operação devem ser apresentados de forma legível no dispositivo antes da aprovação.
O parser lia a quantidade de operações como um valor de 16 bits, mas armazenava a contagem restante em um campo de apenas 8 bits. Com um lote de 257 operações, o contador poderia sofrer um wraparound e fazer o dispositivo exibir apenas a operação final, embora a assinatura abrangesse todo o lote. 37
Não era um ataque aplicável a qualquer transação comum da rede Ethereum. As condições descritas incluíam um computador comprometido, um descritor de assinatura clara que percorresse dados controlados pelo atacante e um contrato capaz de aceitar e executar mais de 255 operações em um único lote. A Ledger corrigiu o problema na versão 1.22.3 do app Ethereum. 37
LSB-025: um pagamento de swap podia virar uma aprovação de token
A LSB-025 afetava um fluxo específico de swap envolvendo o aplicativo Exchange. O app Ethereum verificava o endereço de destino e a quantidade esperada para a operação, mas não confirmava se a chamada era realmente uma transferência de tokens ou uma aprovação ERC-20.
Com isso, um provedor de swap malicioso ou comprometido poderia enviar uma aprovação que correspondesse ao ativo, ao valor e ao endereço do provedor já validados. A operação poderia ser assinada sem um segundo aviso no dispositivo. 34
As limitações da falha são importantes. A aprovação precisava estar vinculada ao mesmo ativo, à mesma quantidade e ao endereço do provedor de swap já validado — não a um endereço arbitrário escolhido pelo atacante nem a uma permissão ilimitada. Uma transação posterior ainda seria necessária para movimentar os tokens aprovados, e o pagamento esperado do swap não chegaria. Nesse caso, o swap falharia em vez de ser concluído normalmente.
O problema não afetava fluxos comuns de aprovação fora de swaps. A Ledger corrigiu a LSB-025 na versão 1.22.3. 34
O que o caso mostra sobre a segurança de carteiras físicas
Uma carteira física pode manter as chaves privadas isoladas e, ainda assim, apresentar vulnerabilidades no nível dos aplicativos: no parser de transações, na lógica de exibição ou na comunicação entre o software conectado e o dispositivo.
Foi esse o ponto central dos casos da Ledger. As falhas não estavam relacionadas à extração da chave privada, mas à confiabilidade da informação que o dispositivo mostrava e validava antes de assinar uma operação.
Essa distinção ajuda a explicar por que a possibilidade de atualização é parte importante da segurança. O elemento seguro e o isolamento das chaves continuam sendo proteções relevantes, mas não eliminam erros em aplicativos específicos de blockchain. A Ledger destacou atualizações de aplicativos, reforço do SDK, revisões contínuas e pesquisas de segurança como componentes do modelo de proteção. 27
38
A questão ainda sem resposta sobre o tempo de lançamento
As divulgações também levantaram uma questão de gestão de versões. O registro dos boletins de segurança identifica as correções das LSB-024 e LSB-025 separadamente do lançamento posterior da versão 1.22.3, mas o material disponibilizado não explica claramente o intervalo entre a preparação das correções e a chegada delas aos usuários. 5
34
37
Essa dúvida sobre o cronograma é diferente da possibilidade de exploração das falhas. Ela não prova que usuários tenham sido comprometidos, mas é relevante para avaliar a velocidade com que correções de segurança chegam aos clientes de carteiras físicas.
O que os usuários da Ledger devem fazer
- Abra o Ledger Live e atualize o app Ethereum para a versão 1.22.3 ou posterior.
- Abra o aplicativo Ethereum no dispositivo físico Ledger.
- Confira a versão exibida no próprio dispositivo.
- Continue revisando com atenção os detalhes das transações na tela do Ledger antes de aprová-las.
Atualizar apenas o firmware do dispositivo não confirma que o aplicativo Ethereum afetado foi substituído. A proteção relevante neste caso é a versão do app Ethereum instalada no Ledger. 35
Studio Global AI
Continue sua pesquisa
Esta página inclui uma resposta baseada na fonte que você pode continuar em Studio Global.
As pessoas também perguntam
Qual é a resposta curta para "Falhas no app Ethereum da Ledger: o que a reprodução da OneKey revelou e como se proteger"?
As falhas divulgadas pela Ledger em agosto de 2026 afetaram o app Ethereum, não as chaves privadas nem o sistema operacional dos dispositivos; a empresa diz não ter encontrado evidências de exploração contra usuários.
Quais são os pontos-chave para validar primeiro?
As falhas divulgadas pela Ledger em agosto de 2026 afetaram o app Ethereum, não as chaves privadas nem o sistema operacional dos dispositivos; a empresa diz não ter encontrado evidências de exploração contra usuários. A OneKey reproduziu em laboratório a LSB 023 na versão 1.22.1, uma condição que poderia fazer o dispositivo assinar parâmetros diferentes dos exibidos na tela.
O que devo fazer a seguir na prática?
A LSB 024 podia ocultar operações em um lote de 257 itens durante a assinatura clara, enquanto a LSB 025 podia substituir um pagamento de swap por uma aprovação de token em condições específicas.
Fontes
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...