ОтветыОпубликовано19 источники
Уязвимости Ethereum-приложения Ledger: что показала OneKey и как защитить средства
В августе 2026 года Ledger раскрыл три уязвимости Ethereum приложения. Речь шла о проверке и отображении транзакций, а не об извлечении приватных ключей или взломе прошивки; Ledger не обнаружил признаков атак на польз...
ОпубликовалОтредактировано с помощью GPT-5.6 LunaИзображения созданы с помощью GPT Image 1.5
Ответ на исследование
Ключевые выводы
- В августе 2026 года Ledger раскрыл три уязвимости Ethereum приложения. Речь шла о проверке и отображении транзакций, а не об извлечении приватных ключей или взломе прошивки; Ledger не обнаружил признаков атак на польз...
- Команда безопасности OneKey воспроизвела LSB 023 в лаборатории на устаревшей версии Ethereum приложения 1.22.1.
- LSB 024 могла скрыть операции в пакете из 257 действий при clear signing, а LSB 025 — подменить платеж токенами на разрешение (approval) в рамках ограниченного сценария обмена.
- Пользователям следует обновить Ethereum приложение через Ledger Live до версии 1.22.3 или новее и проверить установленную версию непосредственно на устройстве.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
В августе 2026 года Ledger сообщил о трех уязвимостях в Ethereum-приложении, которое работает на аппаратных кошельках компании. Ошибки затрагивали разбор, отображение и подтверждение транзакций и операций обмена, но не означали извлечение приватных ключей или компрометацию операционной системы Ledger. Компания заявила, что не нашла доказательств взлома пользователей или эксплуатации уязвимостей в реальных атаках. 35
38
Для владельцев Ledger практический вывод простой: через Ledger Live нужно обновить Ethereum-приложение до версии 1.22.3 или новее, а затем открыть его на самом устройстве и проверить номер установленной версии. 35
Что именно воспроизвела OneKey
Команда безопасности Anzen компании OneKey воспроизвела уязвимость LSB-023 на Ethereum-приложении версии 1.22.1 в контролируемых лабораторных условиях. Это была гонка при замене транзакции: устройство принимало новую APDU-команду, пока предыдущая еще ожидала ответа пользователя.
Пока пользователь просматривал данные на экране Ledger, параметры транзакции сохранялись в общем состоянии приложения. Из-за этого информация на дисплее могла отличаться от той, которую устройство в итоге подписывало. 2
На практике атакующему пришлось бы контролировать канал связи между компьютером и Ledger — например, через вредоносную программу, скомпрометированное приложение кошелька или другой программный компонент, имеющий доступ к устройству. При этом пользователь все равно должен был подтвердить отображавшийся на Ledger запрос. Это не была атака на seed-фразу или механизм извлечения ключей. 21
27
Ledger оспорил трактовку демонстрации как нового «взлома» в реальном времени. Компания заявила, что проблема уже была исправлена в Ethereum-приложении версии 1.22.2, выпущенной 13 августа — еще до публичной демонстрации OneKey. Более широкое исправление также вошло в Secure SDK версии 26.6.1. 22
35
Две дополнительные ошибки в Ethereum-приложении
LSB-024: пакет из 257 операций мог отображаться неполностью
LSB-024 касалась обработки массивов при clear signing — режиме, в котором устройство должно показывать пользователю детали подписываемой операции.
Приложение считывало количество операций как 16-битное значение, но хранило оставшееся число в 8-битном поле. При пакете из 257 операций счетчик мог переполниться: Ledger показывал только последнюю операцию, хотя подпись охватывала весь пакет. 37
Это не означало универсальную атаку на любую транзакцию Ethereum. Для описанного сценария требовались скомпрометированный компьютер, дескриптор clear signing с массивом, контролируемым атакующим, и смарт-контракт, способный принимать и выполнять более 255 операций за один раз. Ledger устранил проблему в Ethereum-приложении версии 1.22.3. 37
LSB-025: платеж при обмене мог превратиться в разрешение на списание токенов
LSB-025 затрагивала конкретный сценарий обмена через приложение Exchange. Ethereum-приложение проверяло адрес получателя и ожидаемое количество токенов, но не проверяло тип операции: действительно ли это перевод токенов, а не ERC-20 approval — разрешение другому адресу списывать токены.
В результате вредоносный или скомпрометированный провайдер обмена мог отправить approval с теми же активом, суммой и адресом провайдера, которые ожидало приложение, и получить подпись без второго запроса на физическом устройстве. 34
Однако возможности этой атаки были ограничены. Разрешение относилось к уже проверенному адресу провайдера обмена и указанному количеству токенов, а не к произвольному адресу атакующего или неограниченному лимиту. Для последующего перемещения средств потребовалась бы отдельная транзакция. Ожидаемый платеж при этом не поступил бы, поэтому обмен завершился бы ошибкой, а не прошел незаметно для пользователя. Обычные approval-операции вне сценария обмена эта уязвимость не затрагивала. Ledger исправил LSB-025 в версии 1.22.3. 34
Что это говорит о безопасности аппаратных кошельков
Аппаратный кошелек может надежно изолировать приватные ключи и при этом содержать ошибки на уровне отдельных блокчейн-приложений. В случае Ledger проблемы касались парсинга транзакций, логики отображения и передачи данных между подключенным программным обеспечением и устройством.
Именно поэтому экран аппаратного кошелька важен, но не является абсолютной гарантией сам по себе. Защита ключей и Secure Element остаются важными барьерами, однако они не исключают ошибки в конкретном приложении, которое разбирает и подписывает операции.
Ledger использовал этот эпизод, чтобы подчеркнуть значение обновляемых приложений, усиления SDK, постоянных проверок безопасности и исследований уязвимостей. Для аппаратных кошельков обновляемость — не второстепенная функция, а часть общей модели защиты. 27
38
Почему возникли вопросы к срокам выпуска исправлений
Публичные материалы фиксируют, что исправления для LSB-024 и LSB-025 были подготовлены отдельно от последующего выпуска версии 1.22.3. В частности, исправление LSB-024 было объединено в кодовую базу 5 мая, а исправление LSB-025 — 25 мая; пользователи получили оба исправления в версии 1.22.3, выпущенной 25 августа. 5
34
37
Опубликованные данные не объясняют, почему между подготовкой исправлений и их доступностью для пользователей прошло около трех месяцев. Это не доказывает компрометацию устройств или наличие ущерба, но остается важным вопросом к процессу раскрытия уязвимостей и выпуску обновлений.
Что делать владельцам Ledger
- Откройте Ledger Live и обновите Ethereum-приложение до версии 1.22.3 или новее.
- Запустите Ethereum-приложение на физическом устройстве Ledger.
- Проверьте номер версии, который отображается непосредственно на устройстве.
- Перед подтверждением продолжайте внимательно сверять детали транзакции на экране Ledger.
Одного обновления прошивки недостаточно, чтобы убедиться в замене уязвимого Ethereum-приложения. Ключевое значение имеет именно версия приложения Ethereum, установленная на Ledger. 35
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «Уязвимости Ethereum-приложения Ledger: что показала OneKey и как защитить средства»?
В августе 2026 года Ledger раскрыл три уязвимости Ethereum приложения. Речь шла о проверке и отображении транзакций, а не об извлечении приватных ключей или взломе прошивки; Ledger не обнаружил признаков атак на польз...
Какие ключевые моменты необходимо проверить в первую очередь?
В августе 2026 года Ledger раскрыл три уязвимости Ethereum приложения. Речь шла о проверке и отображении транзакций, а не об извлечении приватных ключей или взломе прошивки; Ledger не обнаружил признаков атак на польз... Команда безопасности OneKey воспроизвела LSB 023 в лаборатории на устаревшей версии Ethereum приложения 1.22.1.
Что мне делать дальше на практике?
LSB 024 могла скрыть операции в пакете из 257 действий при clear signing, а LSB 025 — подменить платеж токенами на разрешение (approval) в рамках ограниченного сценария обмена.
Источники
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...