Bezpečnostní tým OneKey Anzen znovu vyvolal již opravenou chybu v procesu podepisování v Ledgeru

Zranitelnost v aplikaci Ledger a laboratorní reprodukce společností OneKey

Podle bezpečnostního bulletinu společnosti Ledger mohla chyba ve verzi 1.22.1 aplikace Ethereum umožnit útočníkovi nebo napadenému hostiteli odeslat druhý příkaz, zatímco původní transakce zůstala na obrazovce. V takovém scénáři mohl uživatel kontrolovat jednu transakci, zatímco zařízení podepisovalo odlišné parametry.

Tým Anzen společnosti OneKey použil nástroj Speculos a lokálně sestavený spustitelný soubor k reprodukci scénáře této zranitelnosti. Tým během testování také vyřešil problém „reset 502“ v nástroji Speculos. Společnost Ledger uvádí, že 13. srpna přidala do aplikace Ethereum 1.22.2 ochranu na úrovni aplikace a 21. srpna opravila základní problém v sadě Ledger Secure SDK v26.6.1. Společnost doporučuje uživatelům nainstalovat aplikaci Ethereum 1.22.3 nebo novější prostřednictvím Ledger Live a ověřit verzi aplikace na svém zařízení. Samotná aktualizace firmwaru zařízení nestačí.

„Takovýto bezpečnostní výzkum pomáhá celému ekosystému hardwarových peněženek udržet si náskok před potenciálními hrozbami,“ uvedl Yishi Wang, generální ředitel a zakladatel společnosti OneKey. „Schopnost našeho týmu Anzen tuto chybu reprodukovat dokazuje hodnotu nezávislého testování bezpečnosti v prostředí Web3.“

O společnosti OneKey

OneKey nabízí web3 aplikaci s vlastní správou aktiv a kompatibilní hardwarové peněženky. Uživatelé mohou spravovat aktiva napříč řetězci, přistupovat k DAppům a DeFi a obchodovat s perpetual kontrakty, aniž by OneKey svěřili kontrolu nad svými soukromými klíči. Aplikace OneKey funguje jako softwarová peněženka nebo se připojuje ke kompatibilním hardwarovým peněženkám, kde jsou uloženy soukromé klíče a kde se podepisují transakce.

OneKey neuchovává prostředky uživatelů ani neovládá klíče používané k autorizaci transakcí. Aktiva vložená do protokolů třetích stran podléhají i nadále smart kontraktům těchto protokolů a souvisejícím rizikům. OneKey zveřejňuje zdrojový kód aplikace OneKey App, zatímco repozitáře firmwaru hardwarových peněženek jsou k dispozici pod open-source licencemi. Nezávislé audity provedené společností SlowMist prověřily produkty OneKey Pro, Classic 1S a OneKey SDK.

Aplikace OneKey podporuje správu aktiv a DApp napříč řetězci, swapové a bridge trasy třetích stran, hromadné převody v podporovaných sítích a správu adres. Její sekce DeFi zahrnuje přehledy „Earn“, „Borrow“ a „Portfolio“ pro podporované protokoly, které zobrazují aktiva, dluhy, odměny, čistou hodnotu a ukazatele stavu. Uživatelé mohou prostřednictvím aplikace OneKey App vkládat aktiva, půjčovat si, splácet, nárokovat odměny a uzavírat pozice v protokolech, které tyto akce podporují.

Počínaje verzí OneKey App 6.5.0 je k dispozici sponzorování poplatků za plyn (Gas Sponsorship) pro způsobilé odesílání tokenů a centrálně směrované swapy v mainnetu Ethereum, Arbitrum One, BNB Smart Chain, Polygon a Base, a dále pro vklady USDC do Perps na Arbitrum. Oprávnění uživatelé mohou získat sponzorství až pro 10 transakcí denně, v závislosti na dostupnosti a kontrole spravedlivého využití.

SignGuard a Clear Signing poskytují před podpisem upozornění na rizika a čitelné podrobnosti o transakci, i když se jejich pokrytí stále rozšiřuje. Mezi další bezpečnostní opatření patří skrytí podezřelých tokenů, důvěryhodné kontakty a správa autorizací. Na iOS a Androidu stránky pro zobrazení soukromého klíče blokují pořizování snímků obrazovky, chrání před nahráváním obrazovky a rozostřují pozadí.

OneKey Perps, integrovaný do aplikace OneKey, využívá on-chain infrastrukturu Hyperliquid pro obchodování s perpetuitními kontrakty. Uživatelé vkládají kolaterál do on-chain kontraktů protokolu a v mobilní nebo desktopové aplikaci OneKey si prohlížejí zůstatky, tržní data, pozice a příkazy. V závislosti na dostupnosti může OneKey Perps nabízet kontrakty vázané na kryptoměny, americké a globální akcie, drahé kovy, indexy a ETF, komodity, devizy a vybrané trhy před IPO. Dostupné symboly, limity pákového efektu, likvidita, sazby financování a regionální přístup se mohou měnit; uživatelé by si měli v aplikaci ověřit aktuální trhy a podmínky.

Uživatelé mohou zadávat tržní a limitní příkazy, otevírat dlouhé nebo krátké pozice, volit režim marže a využívat rychlé příkazy BBO. Před odesláním příkazu rozhraní zobrazuje sazby financování, nastavení marže, poplatky a odhadovanou likvidační cenu. Push notifikace poskytují aktualizace o obchodech, nenahrazují však aktivní sledování pozic.

OneKey uvádí více než 1,2 milionu stažení, přes 120 000 aktivních uživatelů měsíčně a aktiva v vlastní správě v hodnotě více než 8,45 miliardy dolarů. Aplikace podporuje více než 30 000 mincí a tokenů.

Společnost YZi Labs vedla kolo financování série B aplikace OneKey s oceněním 150 milionů dolarů; mezi dřívějšími investory patřily společnosti Coinbase Ventures, Dragonfly a Ribbit Capital.

Další informace najdete v aplikaci OneKey nebo v seznamu trhů OneKey Perps.

_________________________________________________________________________

Bitcoin.com nepřijímá žádnou odpovědnost ani záruku a nenese žádnou odpovědnost, ať již přímo či nepřímo, za jakékoli ztráty, škody, nároky, náklady nebo výdaje jakéhokoli druhu, ať již skutečné, domnělé nebo následné, vyplývající z nebo související s používáním nebo spoléháním se na jakýkoli obsah, zboží nebo služby zmíněné v tomto článku. Jakékoli spoléhání se na tyto informace je výhradně na vlastní riziko čtenáře.