В Ledger найдена критическая уязвимость

Ledger
Ledger

Специалист по блокчейн-безопасности Мохаммад Нохбех обнаружил потенциальные риски в аппаратном кошельке Ledger. Злоумышленник может создать транзакцию, которая вместо альткоина приведет к списанию первой криптовалюты.

«Организатор атаки может воспользоваться этим методом для перевода биткоина. В это время у пользователя возникнет впечатление, что осуществляется транзакция другого, менее ценного альткоина (Litecoin (LTC), Bitcoin Cash (BCH) и других)», — заметил Нохбех.

Иными словами, пользователь может отправить 0,01 BTC с полной уверенностью, что он указал 0,01 в LTC.

Для поддержки альткоинов пользователю в Ledger необходимо установить для каждого актива отдельное приложение. Из них активным в определенный момент может быть только одно. Нохбех обнаружил, что у злоумышленников есть возможность обращения к приложениям, находящимся в неактивном состоянии.

Разблокировка позволяет запрашивать различные функции:

  • экспорт открытых ключей;
  • подписывание сообщений;
  • подтверждение транзакций.

«Было обнаружено, что для биткоина и его форков устройство предоставляет функции при работе с любым активом. Разблокировав приложение для Litecoin, вы получите запрос на подтверждение перевода BTC, в то время как интерфейс будет отображать перевод и адрес LTC. При подтверждении запроса в основную сеть биткоина будет отправлена полностью действительная подписанная транзакция», — указал Нохбех.

До появления обновлений он рекомендует отключить приложения альткоинов в каталоге Ledger Live.

Эксперт подчеркнул, что сообщил о найденной уязвимости специалистам компании, но в течение трехмесячного срока она так и не была устранена.

В Ledger признали наличие проблемы и пообещали выпустить апдейт, который внедрит отображение предупреждения о выявлении нестандартного пути осуществления транзакции. Они отметили, что блокировка может решить эту проблему, однако это может привести к заморозке активов пользователей, которые ими больше не смогут воспользоваться.

АПДЕЙТ: К настоящему времени уязвимость устранена — компания выпустила обновление ПО.

Напомним, недавно Ledger сообщил об утечке персональных данных миллиона пользователей из-за найденной уязвимости.

Подписывайтесь на новости ForkLog в Facebook!

Подписывайтесь на ForkLog в социальных сетях

Telegram (основной канал) Discord Instagram
Нашли ошибку в тексте? Выделите ее и нажмите CTRL+ENTER

Рассылки ForkLog: держите руку на пульсе биткоин-индустрии!

*Ежедневная рассылка — краткая сводка наиболее важных новостей предыдущего дня. Чтение занимает не больше двух минут. Выходит в рабочие дни в 06:00 (UTC)
*Еженедельная рассылка — объясняем, кто и как изменил индустрию за неделю. Идеально подходит для тех, кто не успевает за новостным потоком в течение дня. Выходит в пятницу в 16:00 (UTC).

Мы используем файлы cookie для улучшения качества работы.

Пользуясь сайтом, вы соглашаетесь с Политикой приватности.

OK