OneKey Anzen-sikkerhedsteamet gengiver den rettede fejl i forbindelse med underskrivning af Ledger-enheder

Ledgers sårbarhed og OneKeys reproduktion i laboratoriet

Ifølge Ledgers sikkerhedsmeddelelse kunne en fejl i version 1.22.1 af Ethereum-appen gøre det muligt for en ondsindet eller kompromitteret vært at sende en anden kommando, mens den oprindelige transaktion stadig var synlig på skærmen. I dette scenario kunne en bruger gennemgå én transaktion, mens enheden underskrev andre parametre.

OneKeys Anzen-team brugte Speculos og et lokalt udviklet eksekverbart program til at genskabe sårbarhedsscenariet. Teamet løste også et Speculos-problem med "reset 502" under testningen. Ledger oplyser, at de tilføjede beskyttelse på app-niveau i Ethereum-appen 1.22.2 den 13. august og rettede det underliggende problem i Ledger Secure SDK v26.6.1 den 21. august. Virksomheden anbefaler, at brugerne installerer Ethereum-appen 1.22.3 eller nyere via Ledger Live og kontrollerer appversionen på deres enhed. Det er ikke tilstrækkeligt blot at opdatere enhedens firmware.

»Sikkerhedsforskning som denne hjælper hele økosystemet for hardware-wallets med at være på forkant med potentielle trusler,« sagde Yishi Wang, CEO og stifter af OneKey. »Vores Anzen-teams evne til at gengive denne fejl demonstrerer værdien af uafhængige sikkerhedstest i Web3-området.«

Om OneKey

OneKey tilbyder en Web3-app med egen opbevaring og kompatible hardware-wallets. Brugere kan administrere multichain-aktiver, få adgang til DApps og DeFi samt handle evighedskontrakter uden at give OneKey kontrol over deres private nøgler. OneKey-appen fungerer som en software-wallet eller opretter forbindelse til kompatible hardware-wallets, hvor private nøgler opbevares, og transaktioner underskrives.

OneKey opbevarer ikke brugernes midler og har ikke kontrol over de nøgler, der bruges til at godkende transaktioner. Aktiver, der indsættes i tredjepartsprotokoller, er fortsat underlagt disse protokollers smartkontrakter og de dermed forbundne risici. OneKey offentliggør open source-kode til OneKey-appen, mens firmware-repositorier til hardware-tegnebøger er tilgængelige under open source-licenser. Tredjepartsrevisioner udført af SlowMist har gennemgået OneKey Pro, Classic 1S og OneKey SDK.

OneKey-appen understøtter forvaltning af aktiver og DApp'er på tværs af blockchains, tredjeparts-swap- og bridge-ruter, batchoverførsler på understøttede netværk samt adressestyring. Dens DeFi-sektion indeholder visninger af »Earn«, »Borrow« og »Portfolio« for understøttede protokoller, hvor aktiver, gæld, belønninger, nettoværdi og sundhedsmetrikker vises. Brugere kan indbetale aktiver, låne, tilbagebetale, modtage belønninger og afslutte positioner via OneKey App på protokoller, der understøtter disse handlinger.

Fra og med OneKey App 6.5.0 er Gas Sponsorship tilgængeligt for kvalificerede tokenoverførsler og centralt dirigerede swaps på Ethereum Mainnet, Arbitrum One, BNB Smart Chain, Polygon og Base samt USDC-indskud til Perps på Arbitrum. Kvalificerede brugere kan modtage sponsorering for op til 10 transaktioner om dagen, afhængigt af tilgængelighed og kontrol af rimelig brug.

SignGuard og Clear Signing giver risikoadvarsler og læsbare transaktionsdetaljer inden underskrivning, selvom dækningen stadig udvides. Andre sikkerhedskontrolfunktioner omfatter skjult visning af mistænkelige tokens, betroede kontakter og autorisationsstyring. På iOS og Android blokerer siderne til visning af private nøgler skærmbilleder, beskytter mod skærmoptagelse og slører baggrunden.

OneKey Perps, der er indbygget i OneKey-appen, bruger Hyperliquids on-chain-infrastruktur til handel med evighedskontrakter. Brugere indbetaler sikkerhedsstillelse til protokollens on-chain-kontrakter og kan se saldi, markedsdata, positioner og ordrer i OneKeys mobil- eller desktop-app. Afhængigt af tilgængelighed kan OneKey Perps tilbyde kontrakter knyttet til kryptovalutaer, amerikanske og globale aktier, ædle metaller, indekser og ETF’er, råvarer, valuta og udvalgte pre-IPO-markeder. Tilgængelige symboler, gearingsgrænser, likviditet, finansieringsrenter og regional adgang kan ændre sig; brugere bør tjekke appen for aktuelle markeder og vilkår.

Brugere kan afgive markeds- og limitordrer, åbne lange eller korte positioner, vælge en margintilstand og benytte BBO-hurtigordrer. Inden ordren afgives, viser brugergrænsefladen finansieringsrenter, marginindstillinger, gebyrer og den anslåede likvidationspris. Push-notifikationer giver opdateringer om handler, men erstatter ikke aktiv overvågning af positioner.

OneKey rapporterer om mere end 1,2 millioner downloads, over 120.000 månedligt aktive brugere og mere end 8,45 milliarder dollar i aktiver i egen forvaring. Appen understøtter mere end 30.000 coins og tokens.

YZi Labs ledede OneKeys serie B-finansieringsrunde med en værdiansættelse på 150 millioner dollar, og blandt de tidligere investorer var Coinbase Ventures, Dragonfly og Ribbit Capital.

For mere information kan du besøge OneKey-appen eller se OneKey Perps-markedslisten.

_________________________________________________________________________

Bitcoin.com påtager sig intet ansvar og kan ikke holdes ansvarlig, hverken direkte eller indirekte, for tab, skader, krav, omkostninger eller udgifter af nogen art, uanset om disse er faktiske, påståede eller følgeskader, der opstår som følge af eller i forbindelse med brugen af eller tilliden til indhold, varer eller tjenester, der henvises til i denne artikel. Enhver tillid til sådanne oplysninger er udelukkende på læserens eget ansvar.