OneKeyは、旧バージョンのLedgerで取引置換攻撃を再現しました

オープンソースウォレットプロバイダーOneKeyの社内セキュリティチームは、古いバージョンのLedgerのデバイス上のEthereumアプリケーションを標的としたエクスプロイトをテスト環境で再現することに成功したと発表しました。

Ledgerによると、この脆弱性の悪用には、マルウェアや妥協したウォレットソフトウェア、危険なウェブページなどを通じて、デバイスとホスト間の通信を制御する必要があるとのことです。Ledgerは8月13日にリリースされたEthereumアプリ1.22.2でアプリレベルの保護策を追加し、 8月21日にはSecure SDK 26.6.1で根本的な問題を修正しました。

このセキュリティテストは、7月のColdcardエクスプロイトに続くものであり、その際、攻撃者は2021年3月に導入されたファームウェアのバグを悪用し、一部のColdcardウォレットでシードのランダムネスを弱め、その結果生成されたプライベートキーがブルートフォース攻撃に対して脆弱になりました。

OneKeyが再現した脆弱性はシード生成とは無関係で、署名プロセス中のトランザクション処理方法に影響を与えるものです。

Magazine: 100万ドルのBitcoin送金を引き起こした「偽の警察による家宅捜索」の内幕