OneKey Anzenin tietoturvatiimi onnistui toistamaan Ledgerin korjatun allekirjoitushaavoittuvuuden

Ledgerin haavoittuvuus ja OneKeyn laboratoriossa suoritettu toistaminen

Ledgerin tietoturvatiedotteen mukaan Ethereum-sovelluksen versiossa 1.22.1 oleva virhe saattoi mahdollistaa sen, että pahantahtoinen tai vaarantunut isäntä lähetti toisen komennon samalla, kun alkuperäinen transaktio oli edelleen näytöllä. Tässä tilanteessa käyttäjä saattoi tarkastella yhtä transaktiota, kun laite allekirjoitti eri parametreja.

OneKeyn Anzen-tiimi käytti Speculos-työkalua ja paikallisesti rakennettua suoritustiedostoa haavoittuvuustilanteen toistamiseen. Tiimi ratkaisi testauksen aikana myös Speculos-ohjelmiston ”reset 502” -ongelman. Ledgerin mukaan se lisäsi sovellustason suojauksia Ethereum-sovelluksen versioon 1.22.2 13. elokuuta ja korjasi taustalla olevan ongelman Ledger Secure SDK:n versiossa 26.6.1 21. elokuuta. Yhtiö suosittelee käyttäjille, että he asentavat Ethereum-sovelluksen version 1.22.3 tai uudemman Ledger Liven kautta ja tarkistavat sovelluksen version laitteellaan. Pelkästään laitteen laiteohjelmiston päivittäminen ei riitä.

”Tällainen tietoturvatutkimus auttaa koko laitteistolompakkojen ekosysteemiä pysymään mahdollisten uhkien edellä”, sanoi OneKeyn toimitusjohtaja ja perustaja Yishi Wang. ”Anzen-tiimimme kyky toistaa tämä virhe osoittaa riippumattomien tietoturvatestien arvon Web3-alalla.”

Tietoja OneKey-yrityksestä

OneKey tarjoaa itsehallinnoitavan Web3-sovelluksen ja yhteensopivia laitteistolompakoita. Käyttäjät voivat hallita moniketjuisia varoja, käyttää DApp-sovelluksia ja DeFi-palveluita sekä käydä kauppaa ikuisilla sopimuksilla antamatta OneKeylle hallintaoikeutta yksityisiin avaimiinsa. OneKey-sovellus toimii ohjelmistolompakkona tai yhdistyy yhteensopiviin laitteistolompakoihin, joissa yksityiset avaimet tallennetaan ja transaktiot allekirjoitetaan.

OneKey ei hallinnoi käyttäjien varoja eikä hallitse transaktioiden vahvistamiseen käytettäviä avaimia. Kolmansien osapuolten protokolliin talletetut varat ovat edelleen kyseisten protokollien älykkäiden sopimusten ja niihin liittyvien riskien alaisia. OneKey julkaisee OneKey-sovelluksen avoimen lähdekoodin, ja laitteistolompakoiden laiteohjelmistojen arkistot ovat saatavilla avoimen lähdekoodin lisenssien alaisina. SlowMistin suorittamissa kolmannen osapuolen auditoinneissa on tarkastettu OneKey Pro, Classic 1S ja OneKey SDK.

OneKey-sovellus tukee moniketjuisia varoja ja DApp-hallintaa, kolmannen osapuolen vaihtoja ja siltareittejä, eräsiirtoja tuetuissa verkoissa sekä osoitteiden hallintaa. Sovelluksen DeFi-osiossa on tuetuille protokollille omat Earn-, Borrow- ja Portfolio-näkymät, joissa näkyvät varat, velat, palkkiot, nettoarvo ja terveystilastot. Käyttäjät voivat tallettaa varoja, ottaa lainaa, maksaa lainoja takaisin, lunastaa palkkioita ja sulkea positioita OneKey-sovelluksen kautta protokollissa, jotka tukevat näitä toimintoja.

OneKey App -sovelluksen versiosta 6.5.0 alkaen Gas Sponsorship on käytettävissä kelpoisille token-lähetyksille ja keskitetysti reititetyille vaihdoille Ethereum Mainnetissä, Arbitrum One -verkossa, BNB Smart Chainissa, Polygonissa ja Basessa sekä USDC-talletuksille Perps-sopimuksiin Arbitrumissa. Oikeutetut käyttäjät voivat saada sponsorointia enintään 10 transaktiota päivässä, saatavuuden ja kohtuullisen käytön tarkastusten mukaisesti.

SignGuard ja Clear Signing tarjoavat riskivaroituksia ja selkeitä tapahtumatietoja ennen allekirjoittamista, vaikka kattavuus onkin vielä laajenemassa. Muita turvallisuustoimintoja ovat epäilyttävien tokenien piilottaminen, luotetut yhteyshenkilöt ja valtuutusten hallinta. iOS- ja Android-laitteilla yksityisavainten näyttösivut estävät kuvakaappaukset, suojaavat näytön tallennukselta ja sumentavat taustan.

OneKey-sovellukseen integroitu OneKey Perps käyttää Hyperliquid-alustan ketjussa toimivaa infrastruktuuria ikuisten sopimusten kaupankäyntiin. Käyttäjät tallettavat vakuuden protokollan ketjussa toimiviin sopimuksiin ja tarkastelevat saldoja, markkinatietoja, positioita ja toimeksiantoja OneKeyn mobiili- tai työpöytäsovelluksessa. Saatavuudesta riippuen OneKey Perps voi tarjota sopimuksia, jotka liittyvät kryptovaluuttoihin, yhdysvaltalaisiin ja kansainvälisiin osakkeisiin, jalometalleihin, indekseihin ja ETF-rahastoihin, hyödykkeisiin, valuuttoihin sekä valikoituihin pre-IPO-markkinoihin. Saatavilla olevat symbolit, vipuvaikutusrajat, likviditeetti, rahoituskorot ja alueellinen pääsy voivat muuttua; käyttäjien tulee tarkistaa sovelluksesta ajantasaiset markkinat ja ehdot.

Käyttäjät voivat tehdä markkina- ja rajoitustilauksia, avata pitkiä tai lyhyitä positioita, valita marginaalitilan ja käyttää BBO-pikatilauksia. Ennen tilauksen lähettämistä käyttöliittymä näyttää rahoituskorot, marginaaliasetukset, palkkiot ja arvioidun likvidaatiohinnan. Push-ilmoitukset tarjoavat kaupankäynnin päivityksiä, mutta ne eivät korvaa aktiivista positioiden seurantaa.

OneKey ilmoittaa yli 1,2 miljoonan latauksen, yli 120 000 kuukausittaista aktiivista käyttäjää ja yli 8,45 miljardin dollarin arvosta itse hallinnoituja varoja. Sovellus tukee yli 30 000 kolikkoa ja tokenia.

YZi Labs johti OneKeyn B-sarjan rahoituskierrosta 150 miljoonan dollarin arvostuksella. Aikaisempia sijoittajia olivat muun muassa Coinbase Ventures, Dragonfly ja Ribbit Capital.

Lisätietoja saat OneKey-sovelluksesta tai tarkastelemalla OneKey Perps -markkinaluetteloa.

_________________________________________________________________________

Bitcoin.com ei ota vastuuta eikä ole vastuussa, suoraan tai epäsuorasti, mistään menetyksistä, vahingoista, vaatimuksista, kustannuksista tai kuluista, olivatpa ne todellisia, väitettyjä tai välillisiä, jotka johtuvat tai liittyvät tässä artikkelissa mainittujen sisältöjen, tuotteiden tai palveluiden käyttöön tai niihin luottamiseen. Tällaiseen tietoon luottaminen tapahtuu täysin lukijan omalla vastuulla.