تیم امنیتی OneKey Anzen نقص امضای Ledger که وصله شده بود را بازتولید می‌کند

آسیب‌پذیری Ledger و بازتولید آزمایشگاهی OneKey

طبق بولتن امنیتی Ledger، یک نقص در نسخه 1.22.1 اپلیکیشن اتریوم می‌توانست به یک میزبان مخرب یا آلوده اجازه دهد در حالی که تراکنش اصلی همچنان روی صفحه نمایش داده می‌شد، یک فرمان دوم ارسال کند. در آن سناریو، کاربر ممکن بود یک تراکنش را بررسی کند، در حالی که دستگاه پارامترهای متفاوتی را امضا می‌کرد.

تیم Anzen شرکت OneKey از Speculos و یک فایل اجراییِ ساخته‌شده به‌صورت محلی برای بازتولید سناریوی آسیب‌پذیری استفاده کرد. این تیم همچنین در طول آزمایش، مشکل «reset 502» در Speculos را برطرف کرد. Ledger می‌گوید در تاریخ ۱۳ اوت، محافظت‌های سطح اپلیکیشن را در نسخه 1.22.2 اپلیکیشن اتریوم اضافه کرده و مشکل زیرساختی را در تاریخ ۲۱ اوت در Ledger Secure SDK v26.6.1 رفع کرده است. این شرکت به کاربران توصیه می‌کند نسخه 1.22.3 یا بالاتر اپلیکیشن اتریوم را از طریق Ledger Live نصب کرده و نسخه اپلیکیشن را روی دستگاه خود بررسی کنند. به‌روزرسانیِ صرفِ firmware دستگاه به‌تنهایی کافی نیست.

«پژوهش‌های امنیتی از این دست به کل اکوسیستم کیف‌پول‌های سخت‌افزاری کمک می‌کند تا از تهدیدهای بالقوه جلوتر بماند»، ییشی وانگ، مدیرعامل و بنیان‌گذار OneKey گفت.. «توانایی تیم Anzen ما در بازتولید این نقص، ارزش آزمون‌های امنیتی مستقل در فضای Web3 را نشان می‌دهد.»

درباره OneKey

OneKey یک اپلیکیشن Web3 با نگه‌داری خودکار و کیف‌پول‌های سخت‌افزاری سازگار ارائه می‌دهد. کاربران می‌توانند دارایی‌های چندزنجیره‌ای را مدیریت کنند، به DAppها و DeFi دسترسی داشته باشند و بدون واگذاری کنترل کلیدهای خصوصی خود به OneKey، قراردادهای پرپچوال را معامله کنند. اپلیکیشن OneKey به‌عنوان یک کیف‌پول نرم‌افزاری عمل می‌کند یا به کیف‌پول‌های سخت‌افزاری سازگار متصل می‌شود؛ جایی که کلیدهای خصوصی ذخیره شده و تراکنش‌ها امضا می‌شوند.

OneKey وجوه کاربران را نگه نمی‌دارد و کنترل کلیدهایی را که برای مجوزدهی به تراکنش‌ها استفاده می‌شوند در اختیار ندارد. دارایی‌هایی که در پروتکل‌های شخص ثالث واریز می‌شوند همچنان تابع قراردادهای هوشمند آن پروتکل‌ها و ریسک‌های مرتبط هستند. OneKey کد متن‌باز اپلیکیشن OneKey را منتشر می‌کند، در حالی که مخازن firmware کیف‌پول‌های سخت‌افزاری تحت مجوزهای متن‌باز در دسترس هستند. ممیزی‌های شخص ثالث توسط SlowMist، OneKey Pro، Classic 1S و OneKey SDK را بررسی کرده‌اند.

اپلیکیشن OneKey از مدیریت دارایی و DApp چندزنجیره‌ای، مسیرهای سواپ و بریج شخص ثالث، انتقال‌های دسته‌ای در شبکه‌های پشتیبانی‌شده و مدیریت آدرس پشتیبانی می‌کند. بخش DeFi آن شامل نماهای Earn، Borrow و Portfolio برای پروتکل‌های پشتیبانی‌شده است و دارایی‌ها، بدهی، پاداش‌ها، ارزش خالص و شاخص‌های سلامت را نمایش می‌دهد. کاربران می‌توانند دارایی واریز کنند، وام بگیرند، بازپرداخت کنند، پاداش‌ها را دریافت کنند و از موقعیت‌ها خارج شوند؛ از طریق اپلیکیشن OneKey در پروتکل‌هایی که از این اقدامات پشتیبانی می‌کنند.

از نسخه 6.5.0 اپلیکیشن OneKey، قابلیت Gas Sponsorship برای ارسال توکن‌های واجد شرایط و سواپ‌های با مسیر مرکزی (centrally routed) در Ethereum Mainnet، Arbitrum One، BNB Smart Chain، Polygon و Base، به‌علاوه واریز USDC به Perps در Arbitrum در دسترس است. کاربران واجد شرایط می‌توانند تا سقف ۱۰ تراکنش در روز از حمایت کارمزد بهره‌مند شوند، بسته به موجودی و بررسی‌های استفاده منصفانه.

SignGuard و Clear Signing پیش از امضا، هشدارهای ریسک و جزئیات خوانای تراکنش را ارائه می‌کنند، هرچند پوشش آن‌ها هنوز در حال گسترش است. سایر کنترل‌های امنیتی شامل پنهان‌سازی توکن‌های مشکوک، مخاطبین مورد اعتماد و مدیریت مجوزها است. در iOS و Android، صفحات نمایش کلید خصوصی اسکرین‌شات را مسدود می‌کنند، در برابر ضبط صفحه محافظت می‌کنند و پس‌زمینه را محو می‌کنند.

OneKey Perps که در اپلیکیشن OneKey تعبیه شده است، از زیرساخت آن‌چین Hyperliquid برای معاملات قراردادهای پرپچوال استفاده می‌کند. کاربران وثیقه را به قراردادهای آن‌چین پروتکل واریز می‌کنند و موجودی‌ها، داده‌های بازار، موقعیت‌ها و سفارش‌ها را در اپ موبایل یا دسکتاپ OneKey مشاهده می‌کنند. بسته به در دسترس بودن، OneKey Perps ممکن است قراردادهایی مرتبط با رمزارزها، سهام ایالات متحده و جهان، فلزات گران‌بها، شاخص‌ها و ETFها، کالاها، ارز خارجی و بازارهای منتخب پیش از عرضه اولیه (pre-IPO) ارائه دهد. نمادهای در دسترس، سقف‌های اهرم، نقدشوندگی، نرخ‌های فاندینگ و دسترسی منطقه‌ای می‌توانند تغییر کنند؛ کاربران باید برای بازارها و شرایط فعلی، اپلیکیشن را بررسی کنند.

کاربران می‌توانند سفارش‌های بازار و محدود ثبت کنند، موقعیت لانگ یا شورت باز کنند، یک حالت مارجین انتخاب کنند و از سفارش‌های سریع BBO استفاده کنند. پیش از ارسال سفارش، رابط کاربری نرخ‌های فاندینگ، تنظیمات مارجین، کارمزدها و قیمت تخمینی لیکوییدیشن را نمایش می‌دهد. اعلان‌های پوش (Push) به‌روزرسانی‌های معامله را ارائه می‌کنند، اما جایگزین پایش فعال موقعیت‌ها نیستند.

OneKey گزارش می‌دهد بیش از ۱.۲ میلیون دانلود، بیش از ۱۲۰,۰۰۰ کاربر فعال ماهانه و بیش از ۸.۴۵ میلیارد دلار دارایی با نگه‌داری خودکار دارد. این اپ از بیش از ۳۰,۰۰۰ کوین و توکن پشتیبانی می‌کند.

YZi Labs دور تأمین مالی سری B OneKey را با ارزش‌گذاری ۱۵۰ میلیون دلار رهبری کرد و سرمایه‌گذاران پیشین شامل Coinbase Ventures، Dragonfly و Ribbit Capital بودند.

برای اطلاعات بیشتر، از اپلیکیشن OneKey بازدید کنید یا فهرست بازار OneKey Perps را مشاهده کنید.

_________________________________________________________________________

Bitcoin.com هیچ‌گونه مسئولیت یا تعهدی را نمی‌پذیرد و در قبال هرگونه زیان، خسارت، ادعا، هزینه یا مخارج از هر نوع—چه واقعی، چه ادعایی، یا تبعی—که ناشی از یا مرتبط با استفاده از، یا اتکا به، هرگونه محتوا، کالا یا خدمات اشاره‌شده در این مقاله باشد، چه به‌طور مستقیم و چه غیرمستقیم، مسئول نخواهد بود. هرگونه اتکا به چنین اطلاعاتی کاملاً بر عهده خواننده و با مسئولیت خود اوست.