El equipo de seguridad de OneKey Anzen reproduce el fallo de firma de Ledger que ya se había corregido

La vulnerabilidad de Ledger y la reproducción en el laboratorio de OneKey

Según el boletín de seguridad de Ledger, un fallo en la versión 1.22.1 de la aplicación de Ethereum podría permitir que un host malintencionado o comprometido enviara un segundo comando mientras la transacción original permanecía en pantalla. En ese escenario, un usuario podría revisar una transacción mientras el dispositivo firmaba parámetros diferentes.

El equipo Anzen de OneKey utilizó Speculos y un ejecutable compilado localmente para reproducir el escenario de la vulnerabilidad. El equipo también resolvió un problema de «reset 502» de Speculos durante las pruebas. Ledger afirma que añadió protecciones a nivel de aplicación en la versión 1.22.2 de la aplicación de Ethereum el 13 de agosto y corrigió el problema subyacente en el SDK de Ledger Secure v26.6.1 el 21 de agosto. La empresa recomienda a los usuarios que instalen la aplicación Ethereum 1.22.3 o posterior a través de Ledger Live y que comprueben la versión de la aplicación en su dispositivo. No basta con actualizar únicamente el firmware del dispositivo.

«Investigaciones de seguridad como esta ayudan a todo el ecosistema de carteras de hardware a adelantarse a posibles amenazas», afirmó Yishi Wang, director ejecutivo y fundador de OneKey. «La capacidad de nuestro equipo de Anzen para reproducir este fallo demuestra el valor de las pruebas de seguridad independientes en el ámbito de Web3».

Acerca de OneKey

OneKey ofrece una aplicación Web3 de autocustodia y carteras de hardware compatibles. Los usuarios pueden gestionar activos multicadena, acceder a DApps y DeFi, y negociar contratos perpetuos sin ceder a OneKey el control de sus claves privadas. La aplicación OneKey funciona como una cartera de software o se conecta a carteras de hardware compatibles, donde se almacenan las claves privadas y se firman las transacciones.

OneKey no retiene los fondos de los usuarios ni controla las claves utilizadas para autorizar las transacciones. Los activos depositados en protocolos de terceros siguen estando sujetos a los contratos inteligentes de dichos protocolos y a los riesgos asociados. OneKey publica el código fuente de la aplicación OneKey, mientras que los repositorios de firmware de las carteras de hardware están disponibles bajo licencias de código abierto. Las auditorías externas realizadas por SlowMist han revisado OneKey Pro, Classic 1S y el SDK de OneKey. La aplicación OneKey admite la gestión de activos y DApps en múltiples cadenas, rutas de intercambio y puentes de terceros, transferencias por lotes en las redes compatibles y la gestión de direcciones. Su sección de DeFi incluye vistas de «Ganar», «Pedir prestado» y «Cartera» para los protocolos compatibles, en las que se muestran los activos, la deuda, las recompensas, el valor neto y los indicadores de salud. Los usuarios pueden depositar activos, pedir prestado, reembolsar, reclamar recompensas y cerrar posiciones a través de la aplicación OneKey App en los protocolos que admiten estas acciones.

A partir de la versión 6.5.0 de la aplicación OneKey, el «Gas Sponsorship» está disponible para envíos de tokens que cumplan los requisitos y para intercambios enrutados de forma centralizada en la red principal de Ethereum, Arbitrum One, BNB Smart Chain, Polygon y Base, además de depósitos de USDC en Perps en Arbitrum. Los usuarios que cumplan los requisitos pueden recibir patrocinio para un máximo de 10 transacciones al día, sujeto a disponibilidad y a controles de uso justo.

SignGuard y Clear Signing proporcionan alertas de riesgo y detalles legibles de las transacciones antes de la firma, aunque la cobertura sigue ampliándose. Otros controles de seguridad incluyen el ocultamiento de tokens sospechosos, los contactos de confianza y la gestión de autorizaciones. En iOS y Android, las páginas de visualización de claves privadas bloquean las capturas de pantalla, protegen contra la grabación de pantalla y difuminan el fondo.

OneKey Perps, integrado en la aplicación OneKey, utiliza la infraestructura en cadena de Hyperliquid para la negociación de contratos perpetuos. Los usuarios depositan garantías en los contratos en cadena del protocolo y consultan saldos, datos de mercado, posiciones y órdenes en la aplicación móvil o de escritorio de OneKey. En función de la disponibilidad, OneKey Perps puede ofrecer contratos vinculados a criptomonedas, acciones estadounidenses y de todo el mundo, metales preciosos, índices y ETF, materias primas, divisas y mercados seleccionados previos a la salida a bolsa (pre-IPO). Los símbolos disponibles, los límites de apalancamiento, la liquidez, las tasas de financiación y el acceso regional pueden variar; los usuarios deben consultar la aplicación para conocer los mercados y las condiciones actuales.

Los usuarios pueden realizar órdenes de mercado y limitadas, abrir posiciones largas o cortas, elegir un modo de margen y utilizar órdenes rápidas BBO. Antes de enviar la orden, la interfaz muestra las tasas de financiación, la configuración del margen, las comisiones y el precio de liquidación estimado. Las notificaciones push proporcionan actualizaciones sobre las operaciones, pero no sustituyen a la supervisión activa de las posiciones.

OneKey registra más de 1,2 millones de descargas, más de 120 000 usuarios activos mensuales y más de 8.45 mil millones de dólares en activos bajo custodia propia. La aplicación admite más de 30 000 monedas y tokens.

YZi Labs lideró la ronda de financiación de la Serie B de OneKey con una valoración de 150 millones de dólares; entre los inversores anteriores se encuentran Coinbase Ventures, Dragonfly y Ribbit Capital. Para obtener más información, visita la aplicación OneKey o consulta la lista de mercados de OneKey Perps. _________________________________________________________________________

Bitcoin.com no asume ninguna responsabilidad ni obligación, y no será responsable, ni directa ni indirectamente, de ninguna pérdida, daño, reclamación, coste o gasto de ningún tipo, ya sea real, supuesto o consecuente, que surja de o esté relacionado con el uso o la confianza depositada en cualquier contenido, producto o servicio mencionado en este artículo. La confianza depositada en dicha información es, en todo caso, por cuenta y riesgo del lector.