아니요, Ledger는 해킹되지 않았습니다: 취약한 Ethereum 앱이 악용되기 전에 패치되었다고 회사는 밝혔습니다.

본문

OneKey는 오래된 Ethereum 앱이 Ledger 장치에 표시된 것과 다른 거래에 서명할 수 있는 방법을 시연했지만 지갑 제조업체는 취약점이 이미 수정되었다고 말했습니다. 암호화폐 지갑 개발업체 Ledger는 경쟁 지갑 제조업체인 OneKey의 연구원들이 Ledger의 이더리움 앱의 오래된 버전을 사용하여 거래 대체 취약점을 재현한 후 해킹당했다는 주장을 거부합니다. 목요일 OneKey의 창립자이자 CEO인 Yishi Wang은 X에서 회사의 Anzen 보안 팀이 실험실에서 Ethereum 앱 버전 1.22.1에 대한 공격을 재현했다고 말했습니다.

“공격자는 사용자가 합법적인 거래를 검토하는 동안 서명 대기 중인 거래를 덮어쓸 수 있습니다.” 이는 취약한 Ledger 앱과 통신하는 소프트웨어를 손상시킨 해커가 사용자에게 합법적인 이더리움 거래를 보여준 다음 서명하기 전에 세부 정보를 교체하고 장치에 변경 사항이 표시되지 않고 자금을 해커의 지갑으로 리디렉션할 수 있음을 의미합니다. Ledger의 최고 기술 책임자인 Charles Guillemet은 이미 패치된 버그를 재현하는 것은 "Ledger 해킹"에 해당하지 않는다며 OneKey의 특성을 거부했습니다. “이 스레드에서 설명하는 것은 오래된 버전의 이더리움 앱의 취약점입니다.”라고 그는 X에 응답했습니다.

"이 문제는 보안 프로세스를 통해 확인되었으며 이 게시물 이전인 8월 13일에 출시된 이더리움 앱 1.22.2에서 수정되었습니다." 목요일에 게시된 보안 게시판에서 Ledger는 이 결함으로 인해 영향을 받는 앱이 다른 트랜잭션에 서명하는 동안 하나의 트랜잭션을 표시할 수 있다고 말했습니다. "수정 사항이 출시된 후 이전 버전에 대해 익스플로잇을 실행하는 것은 연구 결과가 아니라 실험실 연습입니다." Ledger는 8월 Ethereum 앱 버전 1.22.2에 보호 장치를 추가했습니다. Onekey의 주장에 대해 질문을 받았을 때 Ledger는 Decrypt를 회사 내부 보안 연구 팀인 Ledger Donjon에게 지적했습니다. Ledger Donjon은 별도의 X 게시물에서 이 에피소드에서 하드웨어 지갑이 소프트웨어 업데이트를 지원해야 하는 이유를 보여줬다고 말했습니다.

업데이트할 수 없는 지갑은 고칠 수 없습니다.” Ledger는 고객에게 Ledger Wallet을 통해 최신 펌웨어와 앱을 설치하고 Ethereum 앱을 버전 1.22.3 이상으로 업데이트한 후 기기에 표시되는 버전을 확인하라고 조언했습니다.