Ledger’da Farklı İşlem İmzalanabilir: Uygulamaları Ledger Live’dan Güncelleyin

Ledger kullanıcıları, cihaz ekranında gösterilen bir işlemi onaylarken farklı bir işlemi imzalayabiliyor. Wu Blockchain tarafından aktarılan açıklamaya göre OneKey Anzen ekibi, Ledger Ethereum App 1.22.1’de işlem değiştirme saldırısını laboratuvar ortamında yeniden üretti. Kullanıcı işlem A’yı incelerken, cihaz ekranda görünmeyen işlem B’yi imzalama yeteneğine sahip.

Ledger, LSB 023 güvenlik duyurusunda bazı uygulamaların onay ekranı açıkken yeni APDU komutlarını alabileceğini belirtti. APDU, cihaz ile uygulama arasındaki veri iletişimini sağlayan komutları ifade eder. Sorunun, cihazın işletim sistemi veya firmware’den değil, Ledger Secure SDK’nin veri giriş‑çıkış işlemlerinden kaynaklandığı açıklanıyor.

Düzeltme, uygulama kontrolleri ve SDK değişiklikleriyle yapıldı; Ledger Secure SDK 26.6.1 sürümü 21 Ağustos’ta yayımlandı ve firmware güncellemesinin tek başına yeterli olmadığı vurgulandı. OneKey, 1.22.3 sürümünü düzeltme olarak bildirdi; Ledger ise Ethereum App 1.22.2 ile açığı giderdiğini söyledi. Ledger, açığın istismar edildiğine dair kanıt bulunmadığını bildirdi.