Ledger's Ethereum App: Isang Kahinaan ay Napatched – Hindi isang Hack, Kundi Isang Isyu sa Update

Ang mga nakalipas na araw ay nagbigay ng sapat na drama sa mundo ng crypto. Isang katunggali ni Ledger, ang OneKey, ay naglabas ng isang video na nagpapakita ng isang inakalang kahinaan sa Ledger's Ethereum application. Ang paratang: Maaaring dalhin ng isang kahinaan ang mga user na pirmahan ang maling transaksyon – kahit na ang device mismo ay nagpapakita ng tamang datos. Ngunit sa halip na isang malaking hack, lumabas na ito ay isang klasikong isyu sa update – at ito ay mahalagang aral para sa lahat ng gumagamit ng crypto wallets.
Ano ang talagang nangyari?
Noong huling linggo, naglabas si OneKey ng isang teknikal na pagsusuri na nagpapakita kung paano maaaring manipulahin ng isang attacker ang isang lumang bersyon ng Ethereum App sa isang Ledger device upang pirmahan ang transaksyon na may maling datos. Ang kagiliw-giliw: Ipinakita mismo ng Ledger ang tamang detalye ng transaksyon, ngunit ang app ay nagpirma pa rin ng iba. Mukhang nakakabahala? Oo – ngunit tanging kung gumagamit ka ng maling bersyon ng app.
Agad na nilinaw ng Ledger ang sitwasyon: Hindi ito isang hack sa device mismo, kundi isang kilalang isyu sa seguridad na nabigyan na ng solusyon noong Mayo 2023. "Ang kahinaang ipinakita ng OneKey ay may kinalaman sa isang lumang bersyon ng aming Ethereum App, na hindi na dapat gamitin," paliwanag ng isang tagapagsalita ng kumpanya sa isang opisyal na pahayag. Sa madaling salita: Kung ang iyong software ay updated, ligtas ka.
Paano gumagana ang attack – kung sakaling gumamit ka ng maling bersyon
Ayon kay OneKey, ginamit ng attack ang isang kahinaan sa komunikasyon sa pagitan ng Ethereum App at ng Ledger device. Sa pamamagitan ng sadyang maling datos ng transaksyon, maaring mapilit ang lumang app na lumikha ng isang pirma na hindi tumutugma sa aktuwal na detalye. Sa pinakamalalang sitwasyon, ito ay maaaring magdulot na ang mga user ay pumirma ng maling transaksyon – tulad ng pagpapadala sa maling address o maling halaga – nang hindi nila nalalaman.
Ngunit narito ang mahalagang punto: Ang attack na ito ay gumagana lamang kung mayroong lumang bersyon ng Ethereum App (bersyon 1.10.1 o mas bago) na naka-install. Simula Mayo 2023, mayroon na ang updated na bersyon 1.11.0 na naglolose sa isyung ito. Noong panahon na iyon, pinagbigyang-diin ng Ledger ang mga user na i-update ang kanilang software. Kaya kung updated ka, walang dapat ikabahala.
Bakit ang pag-aalboroto ay may katuturan pa rin
Bagaman



walang direktang attack sa Ledger, ipinakita ng insidente ang ilang mahalagang aral – at ang mga ito ay mahalaga para sa lahat ng gumagamit ng crypto wallets.
Una: Ang lumang software ay isang tunay na panganib. Marami sa atin ang nagpapaliban ng update dahil "gumagana naman" o "walang oras." Ngunit ito ay maaaring magkaroon ng malubhang bunga. Sa mundo ng crypto, kung saan ang mga error ay mabilis na nagdudulot ng malaking pagkalugi, ito ay hindi katanggap-tanggap.
Pangalawa: Ang kompetisyon sa pagitan ng mga wallet manufacturer ay masakit. Ginamit ng OneKey ang sitwasyon upang ilagay sa masamang ilaw si Ledger at ilarawan ang kanilang sariling teknolohiya bilang mas ligtas. Ito ay nauunawaan – ngunit dapat nating tandaan na ang mga ganitong insidente ay kadalasan ay may kinalaman sa marketing kaysa sa tunay na seguridad.
Pangatlo: Ang araling dapat matutunan ng lahat. Hindi lamang tayo dapat umaasa sa hardware, kundi dapat din tayong maging responsable. Nagsisimula ito sa regular na pag-update at nagtatapos sa maingat na pagpapatunay ng transaksyon. Ang isang Ledger o ibang hardware wallet ay ligtas lamang kung ito ay ginagamit ng taong may pananagutan.
Ano ang dapat gawin ng mga user – o mas mabuti, dapat gawin
Nagbigay ng malinaw na rekomendasyon si Ledger kung paano protektahan ang sarili. Narito ang mga mahalagang puntos:
1. Ang update ay obligasyon. Hindi lamang ang Ledger-Live software, kundi pati na rin ang lahat ng na-install na crypto apps ay dapat palaging nasa pinakabagong bersyon. Ito ay maaring nakakapagod, ngunit mahalaga.
2. Ang phishing ay isang tunay na problema. Dapat na siguraduhin natin na gamit natin ang tunay na Ledger software at hindi ang pekeng bersyon. Ang maling download ay mabilis na magdudulot ng problema.
3. Palaging suriin ang transaksyon. Bago pirmahan ang transaksyon, dapat nating ikumpara ang address ng tatanggap at ang halaga sa screen ng Ledger. Ito ay tumatagal lamang ng sandali ngunit maaaring magsave sa atin mula sa malaking pagkalugi.
4. Mag-act kung may pagdududa. Kung may bagay na mukhang kakaiba – sa device man o sa app – hindi dapat mag-atubiling i-reset ito o tanggalin ang apektadong software.
Isang konklusyon na higit pa sa simpleng pagpapalaya ng pag-aalala
Ang insidente na ito ay hindi isang hack sa klasikong paraan, ngunit ito ay isang mahalagang paalala na ang seguridad sa mundo ng crypto ay hindi awtomatikong nangyayari. Hindi ito tungkol lamang