AnswersPublished19 sources
Що сталося з Ethereum-застосунком Ledger у серпні 2026 року
Проблеми стосувалися обробки й відображення транзакцій, а не вилучення приватних ключів чи компрометації прошивки Ledger; компанія заявляє, що не виявила атак на користувачів. Команда безпеки OneKey відтворила LSB 023 у контрольованому лабораторному тесті на застарілій версії Ethereum застосунку 1.22.1.
ОпублікувавВідредаговано за допомогою GPT-5.6 LunaЗображення створено за допомогою GPT Image 1.5
Research answer
Key takeaways
- Проблеми стосувалися обробки й відображення транзакцій, а не вилучення приватних ключів чи компрометації прошивки Ledger; компанія заявляє, що не виявила атак на користувачів.
- Команда безпеки OneKey відтворила LSB 023 у контрольованому лабораторному тесті на застарілій версії Ethereum застосунку 1.22.1.
- LSB 024 могла приховати частину операцій у пакеті з 257 дій, а LSB 025 — підмінити платіж токеном на дозвіл витрачання під час обміну за вузьких умов.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
Коротко: це не означає, що Ledger зламали
Серпневий інцидент Ledger стосувався трьох вразливостей в Ethereum-застосунку, який працює на пристроях Ledger. Помилки впливали на те, як застосунок розбирав, показував або схвалював транзакції та операції обміну. Водночас не йшлося про вилучення приватних ключів користувачів або підтверджену компрометацію операційної системи Ledger. Компанія заявила, що не має доказів злому користувачів чи експлуатації цих помилок у реальних атаках. 35
38
Практична порада проста: відкрийте Ledger Live та оновіть Ethereum-застосунок до версії 1.22.3 або новішої. Після цього запустіть застосунок на самому пристрої Ledger і перевірте встановлену версію. 35
Що саме відтворила OneKey
Команда Anzen, що відповідає за безпеку OneKey, у контрольованих лабораторних умовах відтворила вразливість LSB-023 на Ethereum-застосунку версії 1.22.1. Це була гонка під час заміни транзакції: пристрій міг прийняти нову APDU-команду, поки попередня ще очікувала на відповідь користувача.
Проблема виникала через те, що дані транзакції залишалися у спільному стані під час перевірки операції на екрані. У результаті користувач міг побачити одні параметри, а підписати — інші. 2
На практиці зловмиснику потрібно було контролювати канал зв’язку між комп’ютером і Ledger — наприклад, через шкідливе програмне забезпечення або скомпрометований криптогаманець із доступом до пристрою. Водночас користувач усе одно мав власноруч підтвердити запит, який відображався на Ledger. Це не була атака, спрямована на викрадення seed-фрази чи приватних ключів. 21
27
Ledger заперечив характеристику події як нового злому «в реальному часі». Компанія заявила, що проблему вже виправили в Ethereum-застосунку версії 1.22.2, випущеному 13 серпня — ще до публічної демонстрації OneKey. Ширше блокування такого типу команд також додали до Secure SDK версії 26.6.1. 22
35
Дві додаткові вразливості Ethereum-застосунку
LSB-024: пакет із 257 операцій міг відображатися неповністю
LSB-024 стосувалася роботи застосунку з масивами під час clear signing — режиму, у якому пристрій має чітко показувати користувачеві дані операції перед підписом.
Застосунок зчитував кількість операцій як 16-бітне значення, але зберігав залишок лічильника в 8-бітному полі. Для пакета з 257 операцій це могло спричинити переповнення лічильника: на екрані відображалася лише остання операція, хоча підпис охоплював увесь пакет. 37
Сценарій не був універсальною атакою на будь-яку Ethereum-транзакцію. Для нього потрібні були скомпрометований хост, descriptor для clear signing із масивом, контрольованим зловмисником, і смартконтракт, здатний прийняти та виконати пакет із понад 255 операцій. Ledger виправив цю проблему в Ethereum-застосунку версії 1.22.3. 37
LSB-025: під час обміну платіж міг перетворитися на дозвіл
LSB-025 стосувалася конкретного сценарію обміну через застосунок Exchange. Ethereum-застосунок перевіряв адресу отримувача та очікувану кількість токенів, але не перевіряв, чи є операція саме переказом токенів, а не ERC-20 approval — дозволом іншій стороні витрачати токени.
Тому шкідливий або скомпрометований провайдер обміну міг надіслати approval з тією самою адресою, активом і кількістю, які очікував застосунок. Такий запит могли підписати без другого підтвердження на пристрої. 34
Однак межі цієї вразливості мають значення. Дозвіл був прив’язаний до вже перевіреної адреси провайдера обміну та очікуваної кількості токенів — це не була можливість вказати довільну адресу зловмисника або необмежений ліміт. Для переміщення схвалених токенів знадобилася б окрема подальша транзакція. Очікуваний платіж при цьому не надійшов би, тож обмін завершився б помилкою, а не непомітно пройшов як звичайно. Звичайні approval-операції поза сценаріями обміну ця проблема не зачіпала. Ledger виправив LSB-025 у версії 1.22.3. 34
Чому це важливо для безпеки апаратних гаманців
Апаратний гаманець може надійно ізолювати приватні ключі й водночас містити помилки на рівні окремого блокчейн-застосунку. Уразливими можуть бути парсер транзакцій, логіка відображення даних або передавання операції від підключеного програмного забезпечення до пристрою.
Саме тому в кейсах Ledger ішлося не про те, чи зберігаються ключі всередині захищеного елемента, а про те, чи справді пристрій показує та перевіряє ту операцію, яку зрештою підписує.
Це пояснює, чому оновлення застосунків є важливою частиною моделі безпеки. Захищений елемент і ізоляція ключів залишаються фундаментальними заходами захисту, але самі по собі не усувають помилок в окремих застосунках для блокчейнів. Ledger наголосив на важливості оновлень, посилення SDK, постійного аудиту та досліджень фахівців із безпеки. 27
38
Що залишається нез’ясованим
Опубліковані бюлетені окремо описують виправлення для LSB-024 і LSB-025 та їхню появу у версії 1.22.3, але надані матеріали не пояснюють проміжок між підготовкою виправлень і моментом, коли вони стали доступними користувачам. 5
34
37
Це питання стосується управління релізами, а не доводить факт компрометації пристроїв. Проте для власників апаратних гаманців важливо розуміти, наскільки швидко виправлення безпеки доходять до кінцевих користувачів.
Що зробити власникам Ledger
- Відкрийте Ledger Live та оновіть Ethereum-застосунок до версії 1.22.3 або новішої.
- Запустіть Ethereum-застосунок на фізичному пристрої Ledger.
- Перевірте версію, яка відображається безпосередньо на пристрої.
- І надалі уважно звіряйте деталі транзакції на екрані Ledger перед підтвердженням.
Оновлення лише прошивки пристрою не гарантує, що уражений Ethereum-застосунок уже замінено. У цьому випадку вирішальне значення має саме версія Ethereum-застосунку, встановленого на Ledger. 35
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Що сталося з Ethereum-застосунком Ledger у серпні 2026 року"?
Проблеми стосувалися обробки й відображення транзакцій, а не вилучення приватних ключів чи компрометації прошивки Ledger; компанія заявляє, що не виявила атак на користувачів.
What are the key points to validate first?
Проблеми стосувалися обробки й відображення транзакцій, а не вилучення приватних ключів чи компрометації прошивки Ledger; компанія заявляє, що не виявила атак на користувачів. Команда безпеки OneKey відтворила LSB 023 у контрольованому лабораторному тесті на застарілій версії Ethereum застосунку 1.22.1.
What should I do next in practice?
LSB 024 могла приховати частину операцій у пакеті з 257 дій, а LSB 025 — підмінити платіж токеном на дозвіл витрачання під час обміну за вузьких умов.
Sources
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...