Ledger硬件钱包已获得更新，修复了以太坊应用中透明签名逻辑的一个危险错误。公司技术总监查尔斯·吉耶梅确认，该漏洞已被内部安全部门Donjon发现并消除，该部门利用人工智能工具寻找漏洞。补丁已包含在应用版本1.22.2中。
问题本质
该漏洞隐藏在APDU命令的处理中——这些是用于与设备交互的服务消息。在某些场景下，恶意智能合约可能在签名时篡改交易数据。这为攻击打开了可能性，用户确信确认的是小额转账，实际上却批准了攻击者地址对其资金的无限制访问。本质上，这是对签名“透明性”的经典操纵，设备显示一个金额，而发送到网络的却是完全不同的指令。
吉耶梅强调：安装了最新固件和应用版本的用户完全受到保护。然而，这一事件也揭示了另一个同样重要的问题——信息披露的伦理。
围绕负责任披露的冲突
据这位高管称，一家外部“智能”安全公司首先声称发现该漏洞，但其行为不当。它在修复发布后才要求奖励，并未事先联系Ledger团队。相反，它发布了一个公开帖子，造成问题仍未解决的错误印象。化名为TestMachine的用户详细描述了潜在的交易替换机制，这加剧了恐慌。吉耶梅直接称此为“违反负责任披露漏洞原则”。
这一事件再次提醒我们，即使是最可靠的硬件钱包也无法免受复杂攻击向量的影响。但更值得注意的是研究人员的行为：追逐炒作和赏金不应破坏整个生态系统的安全信任。值得注意的是，这一事件发生在Ledger竞争对手Trezor数据泄露的背景下，由于物流合作伙伴ShipMonk被黑客攻击，近14,000名客户受到影响。网络安全问题在行业中变得越来越尖锐，制造商不得不在保护代码和保护声誉之间取得平衡。