Câu trả lờiĐã xuất bản19 nguồn
Ledger giải thích các lỗi ứng dụng Ethereum sau màn tái hiện của OneKey
Sự cố tháng 8/2026 liên quan đến ba lỗ hổng trong ứng dụng Ethereum của Ledger, không phải vụ đánh cắp khóa riêng hay xâm nhập hệ điều hành; Ledger cho biết chưa ghi nhận người dùng bị khai thác. OneKey tái hiện LSB 023 trên ứng dụng Ethereum phiên bản 1.22.1 trong môi trường phòng thí nghiệm có kiểm soát.
Đăng bởiBiên tập bằng GPT-5.6 LunaHình ảnh được tạo bằng GPT Image 1.5
Câu trả lời nghiên cứu
Bài học chính
- Sự cố tháng 8/2026 liên quan đến ba lỗ hổng trong ứng dụng Ethereum của Ledger, không phải vụ đánh cắp khóa riêng hay xâm nhập hệ điều hành; Ledger cho biết chưa ghi nhận người dùng bị khai thác.
- OneKey tái hiện LSB 023 trên ứng dụng Ethereum phiên bản 1.22.1 trong môi trường phòng thí nghiệm có kiểm soát.
- LSB 024 có thể khiến thiết bị chỉ hiển thị thao tác cuối cùng trong một batch clear signing gồm 257 thao tác, còn LSB 025 có thể thay khoản thanh toán swap bằng yêu cầu cấp quyền token trong những điều kiện giới hạn.
Prompt AI
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened with Ledger’s Ethereum app security vulnerabilities in August 2026—including OneKey’s controlled reproduction of the already-p. Article summary: In August 2026, Ledger disclosed three Ethereum-app issues affecting the reliability of its trusted display—not a compromise of users’ private keys or Ledger’s operating system. Ledger said it had no evidence that any us. Topic tags: general, documentation, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks,
Sự cố bảo mật của Ledger trong tháng 8/2026 xoay quanh ba lỗ hổng trong ứng dụng Ethereum chạy trên các thiết bị Ledger. Các lỗi ảnh hưởng đến cách ứng dụng phân tích, hiển thị hoặc xác nhận giao dịch và thao tác swap — chứ không liên quan đến việc trích xuất khóa riêng của người dùng hay một vụ xâm nhập hệ điều hành Ledger. Ledger cho biết chưa tìm thấy bằng chứng người dùng bị tấn công hoặc các lỗ hổng này bị khai thác ngoài thực tế. 35
38
Việc người dùng cần làm ngay khá đơn giản: mở Ledger Live, cập nhật ứng dụng Ethereum lên phiên bản 1.22.3 trở lên, sau đó mở ứng dụng trên thiết bị Ledger để kiểm tra phiên bản đang cài. 35
OneKey đã tái hiện điều gì?
Nhóm bảo mật Anzen của OneKey đã tái hiện LSB-023, một lỗi điều kiện tranh chấp có thể dẫn đến việc thay thế giao dịch, trên ứng dụng Ethereum phiên bản 1.22.1 trong một thử nghiệm phòng thí nghiệm có kiểm soát. Lỗi xuất hiện khi thiết bị chấp nhận một lệnh APDU mới trong lúc lệnh trước vẫn đang chờ người dùng phản hồi.
Do dữ liệu giao dịch vẫn nằm trong trạng thái dùng chung trong quá trình người dùng xem thông tin trên màn hình, các tham số hiển thị có thể khác với tham số cuối cùng được ký. 2
Nói cách khác, nếu kẻ tấn công kiểm soát đường truyền giữa máy tính chủ và Ledger, họ có thể cố thay thế giao dịch đang chờ xác nhận sau khi giao dịch hợp lệ đã xuất hiện trên màn hình thiết bị. Kịch bản này đòi hỏi môi trường máy chủ đã bị xâm nhập — chẳng hạn phần mềm độc hại hoặc mã ví có quyền truy cập thiết bị — và người dùng vẫn phải bấm chấp thuận lời nhắc hiển thị trên Ledger. Đây không phải kiểu tấn công nhằm lấy seed phrase hay khóa riêng. 21
27
Ledger phản đối cách gọi đây là một vụ “hack” mới đang diễn ra. Công ty cho biết lỗi đã được sửa trong ứng dụng Ethereum phiên bản 1.22.2, phát hành ngày 13/8, trước khi OneKey công khai màn tái hiện. Ledger cũng đưa ra biện pháp khắc phục rộng hơn trong Secure SDK phiên bản 26.6.1. 22
35
Hai lỗ hổng Ethereum khác được phát hiện
LSB-024: batch 257 thao tác có thể bị hiển thị thiếu
LSB-024 ảnh hưởng đến cách ứng dụng Ethereum xử lý các mảng dữ liệu trong quy trình clear signing — hình thức ký mà thiết bị hiển thị nội dung thao tác để người dùng kiểm tra.
Bộ phân tích của ứng dụng đọc số lượng thao tác dưới dạng giá trị 16-bit nhưng lưu số thao tác còn lại trong trường 8-bit. Với một batch gồm 257 thao tác, bộ đếm có thể bị tràn và quay về giá trị thấp hơn, khiến thiết bị chỉ hiển thị thao tác cuối cùng dù chữ ký vẫn bao phủ toàn bộ batch. 37
Đây không phải là cuộc tấn công áp dụng cho mọi giao dịch Ethereum. Điều kiện được mô tả khá hẹp, gồm một máy chủ đã bị xâm nhập, descriptor clear signing lặp qua dữ liệu do kẻ tấn công kiểm soát và một hợp đồng có khả năng tiếp nhận, thực thi batch lớn hơn 255 thao tác. Ledger đã sửa lỗi trong ứng dụng Ethereum phiên bản 1.22.3. 37
LSB-025: khoản thanh toán swap có thể bị biến thành cấp quyền token
LSB-025 ảnh hưởng đến một luồng swap cụ thể có liên quan đến ứng dụng Exchange. Ứng dụng Ethereum kiểm tra địa chỉ đích và số lượng tài sản dự kiến cho giao dịch swap, nhưng không xác minh bản chất thao tác đó thực sự là chuyển token hay là lệnh cấp quyền ERC-20.
Vì vậy, một nhà cung cấp swap độc hại hoặc đã bị xâm nhập có thể gửi một lệnh cấp quyền khớp với tài sản, số lượng và địa chỉ nhà cung cấp dự kiến, rồi khiến lệnh này được ký mà không xuất hiện thêm lời nhắc trên thiết bị. 34
Tuy nhiên, phạm vi của lỗi này bị giới hạn đáng kể. Lệnh cấp quyền phải gắn với địa chỉ nhà cung cấp swap đã được xác thực và số lượng dự kiến, thay vì một địa chỉ tùy ý của kẻ tấn công hoặc quyền truy cập không giới hạn. Kẻ tấn công vẫn cần một giao dịch riêng sau đó để chuyển số token đã được cấp quyền. Đồng thời, khoản thanh toán swap dự kiến sẽ không đến, khiến giao dịch swap thất bại thay vì hoàn tất bình thường.
Lỗi này không ảnh hưởng đến các luồng cấp quyền token thông thường, không thông qua swap. Ledger đã sửa LSB-025 trong phiên bản 1.22.3. 34
Sự việc nói gì về bảo mật của ví phần cứng?
Ví phần cứng có thể cô lập khóa riêng nhưng vẫn tồn tại các điểm yếu ở cấp ứng dụng, chẳng hạn bộ phân tích giao dịch, logic hiển thị hoặc quá trình chuyển tiếp dữ liệu giữa phần mềm kết nối và thiết bị.
Các trường hợp của Ledger tập trung vào một câu hỏi cốt lõi: thiết bị có thực sự hiển thị và kiểm tra chính xác thao tác mà nó chuẩn bị ký hay không.
Đó cũng là lý do khả năng cập nhật phần mềm có ý nghĩa quan trọng. Secure Element và cơ chế cô lập khóa riêng vẫn là những lớp bảo vệ thiết yếu, nhưng không thể tự động loại bỏ lỗi trong từng ứng dụng blockchain. Ledger nhấn mạnh việc cập nhật ứng dụng, tăng cường SDK, rà soát bảo mật liên tục và tiếp nhận nghiên cứu từ cộng đồng là các phần quan trọng trong mô hình bảo mật của ví phần cứng. 27
38
Câu hỏi về thời điểm phát hành bản vá vẫn bỏ ngỏ
Các bản tin bảo mật được cung cấp cho thấy những sửa lỗi dành cho LSB-024 và LSB-025 được nêu tách biệt với bản phát hành 1.22.3 sau đó. Tuy nhiên, tài liệu công bố trong nguồn hiện có không giải thích khoảng thời gian giữa lúc bản sửa được chuẩn bị và lúc người dùng có thể tải bản cập nhật. 5
34
37
Vấn đề về tiến độ phát hành này khác với câu hỏi liệu các lỗ hổng có thể bị khai thác hay không. Nó không chứng minh người dùng đã bị xâm nhập, nhưng vẫn đáng chú ý khi đánh giá tốc độ đưa bản vá bảo mật đến khách hàng sử dụng ví phần cứng.
Người dùng Ledger nên làm gì?
- Mở Ledger Live và cập nhật ứng dụng Ethereum lên phiên bản 1.22.3 trở lên.
- Mở ứng dụng Ethereum trên thiết bị Ledger vật lý.
- Kiểm tra phiên bản được hiển thị ngay trên thiết bị.
- Tiếp tục đọc kỹ các chi tiết giao dịch trên thiết bị trước khi phê duyệt.
Chỉ cập nhật firmware của thiết bị là chưa đủ để xác nhận ứng dụng Ethereum bị ảnh hưởng đã được thay thế. Lớp bảo vệ liên quan trực tiếp ở đây là phiên bản ứng dụng Ethereum đang được cài trên Ledger. 35
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Người ta cũng hỏi
Câu trả lời ngắn gọn cho "Ledger giải thích các lỗi ứng dụng Ethereum sau màn tái hiện của OneKey" là gì?
Sự cố tháng 8/2026 liên quan đến ba lỗ hổng trong ứng dụng Ethereum của Ledger, không phải vụ đánh cắp khóa riêng hay xâm nhập hệ điều hành; Ledger cho biết chưa ghi nhận người dùng bị khai thác.
Những điểm chính cần xác nhận đầu tiên là gì?
Sự cố tháng 8/2026 liên quan đến ba lỗ hổng trong ứng dụng Ethereum của Ledger, không phải vụ đánh cắp khóa riêng hay xâm nhập hệ điều hành; Ledger cho biết chưa ghi nhận người dùng bị khai thác. OneKey tái hiện LSB 023 trên ứng dụng Ethereum phiên bản 1.22.1 trong môi trường phòng thí nghiệm có kiểm soát.
Tôi nên làm gì tiếp theo trong thực tế?
LSB 024 có thể khiến thiết bị chỉ hiển thị thao tác cuối cùng trong một batch clear signing gồm 257 thao tác, còn LSB 025 có thể thay khoản thanh toán swap bằng yêu cầu cấp quyền token trong những điều kiện giới hạn.
Nguồn
cryptonews.netNo, Ledger Wasn’t Hacked: Vulnerable Ethereum App Was Patched Before Exploit, Company Says
cryptoslate.comLedger says the viral “hack” was already patched, but two ...
donjon.ledger.comLedger Security Bulletin 023
bingx.comLedger Rejects OneKey's "Hack" Claim After Old Ethereum App Bug ...