L’équipe de sécurité OneKey Anzen reproduit la faille de signature Ledger corrigée

La vulnérabilité de Ledger et la reproduction en laboratoire par OneKey

Selon le bulletin de sécurité de Ledger, une faille dans la version 1.22.1 de l’application Ethereum pouvait permettre à un hôte malveillant ou compromis d’envoyer une seconde commande tandis que la transaction d’origine restait affichée à l’écran. Dans ce scénario, un utilisateur pouvait examiner une transaction alors que l’appareil signait des paramètres différents.

L’équipe Anzen de OneKey a utilisé Speculos et un exécutable compilé localement pour reproduire le scénario de vulnérabilité. L’équipe a également résolu un problème « reset 502 » de Speculos durant les tests. Ledger indique avoir ajouté des protections au niveau de l’application dans Ethereum app 1.22.2 le 13 août et corrigé le problème sous-jacent dans Ledger Secure SDK v26.6.1 le 21 août. L’entreprise recommande aux utilisateurs d’installer Ethereum app 1.22.3 ou une version ultérieure via Ledger Live et de vérifier la version de l’application sur leur appareil. La mise à jour du micrologiciel de l’appareil seule est insuffisante.

« Des recherches en sécurité comme celle-ci aident l’ensemble de l’écosystème des portefeuilles matériels à garder une longueur d’avance sur les menaces potentielles », a déclaré Yishi Wang, CEO & Fondateur de OneKey.. « La capacité de notre équipe Anzen à reproduire cette faille démontre la valeur des tests de sécurité indépendants dans l’espace Web3. »

À propos de OneKey

OneKey propose une application Web3 en auto-garde et des portefeuilles matériels compatibles. Les utilisateurs peuvent gérer des actifs multi-chaînes, accéder aux DApps et à la DeFi, et négocier des contrats perpétuels sans donner à OneKey le contrôle de leurs clés privées. OneKey App fonctionne comme un portefeuille logiciel ou se connecte à des portefeuilles matériels compatibles, où les clés privées sont stockées et les transactions sont signées.

OneKey ne détient pas les fonds des utilisateurs et ne contrôle pas les clés utilisées pour autoriser les transactions. Les actifs déposés dans des protocoles tiers restent soumis aux contrats intelligents de ces protocoles et aux risques associés. OneKey publie du code open source pour OneKey App, tandis que les dépôts du micrologiciel des portefeuilles matériels sont disponibles sous des licences open source. Des audits tiers réalisés par SlowMist ont examiné OneKey Pro, Classic 1S et le OneKey SDK.

OneKey App prend en charge la gestion multi-chaînes des actifs et des DApps, des itinéraires de swap et de bridge tiers, des transferts par lots sur les réseaux pris en charge, ainsi que la gestion des adresses. Sa section DeFi inclut des vues Earn, Borrow et Portfolio pour les protocoles pris en charge, affichant les actifs, la dette, les récompenses, la valeur nette et des indicateurs de santé. Les utilisateurs peuvent déposer des actifs, emprunter, rembourser, réclamer des récompenses et clôturer des positions via OneKey App sur les protocoles qui prennent en charge ces actions.

À partir de OneKey App 6.5.0, le parrainage des frais de gas est disponible pour certains envois de jetons éligibles et des swaps routés de manière centralisée sur Ethereum Mainnet, Arbitrum One, BNB Smart Chain, Polygon et Base, ainsi que pour les dépôts d’USDC vers Perps sur Arbitrum. Les utilisateurs éligibles peuvent recevoir un parrainage jusqu’à 10 transactions par jour, sous réserve de disponibilité et de contrôles d’usage équitable.

SignGuard et Clear Signing fournissent des alertes de risque et des détails de transaction lisibles avant la signature, bien que la couverture soit encore en expansion. Parmi les autres contrôles de sécurité figurent le masquage des jetons suspects, les contacts de confiance et la gestion des autorisations. Sur iOS et Android, les pages d’affichage des clés privées bloquent les captures d’écran, protègent contre l’enregistrement d’écran et floutent l’arrière-plan.

OneKey Perps, intégré à OneKey App, utilise l’infrastructure onchain de Hyperliquid pour le trading de contrats perpétuels. Les utilisateurs déposent des garanties dans les contrats onchain du protocole et consultent les soldes, les données de marché, les positions et les ordres dans l’application mobile ou de bureau de OneKey. Selon la disponibilité, OneKey Perps peut proposer des contrats liés aux cryptomonnaies, aux actions américaines et mondiales, aux métaux précieux, aux indices et ETF, aux matières premières, au marché des changes et à certains marchés pré-IPO sélectionnés. Les symboles disponibles, les limites de levier, la liquidité, les taux de financement et l’accès régional peuvent changer ; les utilisateurs doivent consulter l’application pour connaître les marchés et conditions en vigueur.

Les utilisateurs peuvent passer des ordres au marché et à cours limité, ouvrir des positions longues ou courtes, choisir un mode de marge et utiliser les ordres rapides BBO. Avant la soumission de l’ordre, l’interface affiche les taux de financement, les paramètres de marge, les frais et le prix de liquidation estimé. Les notifications push fournissent des mises à jour de trading mais ne remplacent pas une surveillance active des positions.

OneKey revendique plus de 1,2 million de téléchargements, plus de 120 000 utilisateurs actifs mensuels et plus de 8,45 milliards de dollars d’actifs en auto-garde. L’application prend en charge plus de 30 000 pièces et jetons.

YZi Labs a mené le tour de financement de série B de OneKey à une valorisation de 150 millions de dollars, avec parmi les investisseurs précédents Coinbase Ventures, Dragonfly et Ribbit Capital.

Pour plus d’informations, visitez OneKey App ou consultez la liste des marchés OneKey Perps.

_________________________________________________________________________

Bitcoin.com n’accepte aucune responsabilité ni obligation, et ne pourra être tenu responsable, que ce soit directement ou indirectement, de toute perte, dommage, réclamation, coût ou dépense de quelque nature que ce soit, qu’ils soient réels, allégués ou consécutifs, résultant de ou en lien avec l’utilisation de, ou la confiance accordée à, tout contenu, bien ou service référencé dans cet article. Toute confiance accordée à ces informations relève strictement du risque du lecteur.