Ledger a corrigé un bug dans certains scénarios de signature de transactions transparentes dans l'application Ethereum. C'est ce qu'a annoncé le directeur technique de l'entreprise, Charles Guilmet.
Des FUD circulent à propos des signataires de Ledger, poussés par une société de « sécurité des contrats intelligents » affirmant une vulnérabilité dans l'application Ledger Ethereum.
Il y avait un certain bug concernant les flux de signature clairs. Il a été trouvé par @DonjonLedger en utilisant leur vulnérabilité basée sur l'IA…
–Charles Guillemet (@P3b7_) 23 août 2026
Le top manager a précisé que le problème avait été découvert par la division Donjon en utilisant un ensemble d'outils d'IA pour rechercher des vulnérabilités. Le correctif a déjà été déployé dans la version 1.22.2.
Selon Guilmet, les utilisateurs disposant des correctifs de firmware et d’application actuels sont entièrement protégés.
La vulnérabilité était liée au traitement des flux dans APDU– Commandes de l'application Ethereum. Dans un tel scénario, un contrat intelligent malveillant pourrait théoriquement remplacer les données de transaction au moment de la signature.
Par exemple, un utilisateur peut penser qu'il approuve un petit transfert alors qu'en réalité il autorise un accès illimité à l'adresse de l'attaquant.
Guilmet a critiqué séparément la divulgation publique du problème. Selon lui, la société externe a demandé une récompense après la publication du correctif, n'a pas discuté du cas avec l'équipe du programme, puis a publié un fil de discussion à partir duquel on pouvait conclure que le problème n'était pas résolu.
Ainsi, l'utilisateur X sous le pseudonyme TestMachine a décrit en détail les mécanismes potentiels de substitution de transactions.
Le CTO Ledger a qualifié la situation de « violation des principes de divulgation responsable des vulnérabilités ».
Rappelons que le 13 août, le fabricant de portefeuilles matériels Trezor avait évoqué la fuite des données personnelles de 13 689 utilisateurs. La raison en était le piratage de son partenaire logistique ShipMonk.
Vous avez trouvé une erreur dans le texte ? Sélectionnez-le et appuyez sur CTRL+ENTRÉE
Voir l’article original en russe
