צוות האבטחה OneKey Anzen משחזר פגם חתימה מתוקן של Ledger

הפגיעות ב-Ledger ושחזור המעבדה של OneKey

לפי עלון האבטחה של Ledger, פגם בגרסה 1.22.1 של אפליקציית Ethereum יכול לאפשר למארח זדוני או שנפרץ לשלוח פקודה שנייה בעוד שהטרנזקציה המקורית נותרה על המסך. בתרחיש כזה, משתמש יכול לסקור טרנזקציה אחת בעוד שהמכשיר חותם על פרמטרים שונים.

צוות Anzen של OneKey השתמש ב-Speculos ובקובץ הרצה שנבנה מקומית כדי לשחזר את תרחיש הפגיעות. הצוות גם פתר בעיית “reset 502” ב-Speculos במהלך הבדיקה. Ledger אומרת שהיא הוסיפה הגנות ברמת האפליקציה באפליקציית Ethereum 1.22.2 ב-13 באוגוסט ותיקנה את הבעיה הבסיסית ב-Ledger Secure SDK v26.6.1 ב-21 באוגוסט. החברה ממליצה למשתמשים להתקין את אפליקציית Ethereum 1.22.3 או חדשה יותר דרך Ledger Live ולאמת את גרסת האפליקציה במכשיר שלהם. עדכון קושחת המכשיר בלבד אינו מספיק.

“מחקרי אבטחה כאלה מסייעים לכל מערכת האקוסיסטם של ארנקי חומרה להקדים איומים פוטנציאליים,” אמר ישי וונג, מנכ”ל ומייסד OneKey.. “היכולת של צוות Anzen שלנו לשחזר את הפגם הזה מדגימה את הערך של בדיקות אבטחה עצמאיות במרחב ה-Web3.”

אודות OneKey

OneKey מציעה אפליקציית Web3 במשמורת עצמית וארנקי חומרה תואמים. משתמשים יכולים לנהל נכסים רב-שרשרתיים, לגשת ל-DApps ול-DeFi, ולסחור בחוזים תמידיים מבלי לתת ל-OneKey שליטה על המפתחות הפרטיים שלהם. OneKey App פועלת כארנק תוכנה או מתחברת לארנקי חומרה תואמים, שבהם המפתחות הפרטיים מאוחסנים והטרנזקציות נחתמות.

OneKey אינה מחזיקה כספי משתמשים או שולטת במפתחות המשמשים לאישור טרנזקציות. נכסים המופקדים בפרוטוקולים של צד שלישי נשארים כפופים לחוזים החכמים של אותם פרוטוקולים ולסיכונים הנלווים. OneKey מפרסמת קוד פתוח עבור OneKey App, בעוד שמאגרי קושחת ארנקי החומרה זמינים תחת רישיונות קוד פתוח. ביקורות צד שלישי של SlowMist סקרו את OneKey Pro, Classic 1S, ואת OneKey SDK.

OneKey App תומכת בניהול נכסים ו-DApp רב-שרשרתיים, מסלולי swap ו-bridge של צד שלישי, העברות אצווה ברשתות נתמכות, וניהול כתובות. מדור ה-DeFi שלה כולל תצוגות Earn, Borrow ו-Portfolio עבור פרוטוקולים נתמכים, ומציג נכסים, חוב, תגמולים, ערך נטו ומדדי בריאות. משתמשים יכולים להפקיד נכסים, ללוות, להחזיר, לתבוע תגמולים ולצאת מפוזיציות דרך OneKey App בפרוטוקולים התומכים בפעולות אלה.

החל מ-OneKey App 6.5.0, חסות גז (Gas Sponsorship) זמינה לשליחות טוקנים זכאיות ול-swaps שמנותבים מרכזית ב-Ethereum Mainnet, Arbitrum One, BNB Smart Chain, Polygon ו-Base, וכן להפקדות USDC ל-Perps ב-Arbitrum. משתמשים זכאים יכולים לקבל חסות לעד 10 טרנזקציות ביום, בכפוף לזמינות ובדיקות שימוש הוגן.

SignGuard ו-Clear Signing מספקים התראות סיכון ופרטי טרנזקציה קריאים לפני החתימה, אם כי הכיסוי עדיין מתרחב. בקרות אבטחה נוספות כוללות הסתרת טוקנים חשודים, אנשי קשר מהימנים וניהול הרשאות. ב-iOS וב-Android, דפי הצגת המפתח הפרטי חוסמים צילומי מסך, מגנים מפני הקלטת מסך ומטשטשים את הרקע.

OneKey Perps, המובנה בתוך OneKey App, משתמש בתשתית האונצ’יין של Hyperliquid למסחר בחוזים תמידיים. משתמשים מפקידים בטוחה בחוזים האונצ’יין של הפרוטוקול וצופים ביתרות, בנתוני שוק, בפוזיציות ובהוראות באפליקציה הניידת או השולחנית של OneKey. בהתאם לזמינות, OneKey Perps עשוי להציע חוזים הקשורים למטבעות קריפטוגרפיים, מניות בארה”ב ובעולם, מתכות יקרות, מדדים ו-ETFs, סחורות, מט”ח ושווקים נבחרים טרום-IPO. סמלים זמינים, מגבלות מינוף, נזילות, שיעורי מימון וגישה אזורית יכולים להשתנות; על המשתמשים לבדוק באפליקציה את השווקים והתנאים העדכניים.

משתמשים יכולים להציב הוראות שוק והוראות לימיט, לפתוח פוזיציות לונג או שורט, לבחור מצב מרג’ין, ולהשתמש בהוראות מהירות BBO. לפני שליחת ההוראה, הממשק מציג שיעורי מימון, הגדרות מרג’ין, עמלות ומחיר חיסול משוער. התראות פוש מספקות עדכוני מסחר אך אינן מחליפות ניטור פעיל של פוזיציות.

OneKey מדווחת על יותר מ-1.2 מיליון הורדות, יותר מ-120,000 משתמשים פעילים חודשיים, ויותר מ-8.45 מיליארד דולר בנכסים במשמורת עצמית. האפליקציה תומכת ביותר מ-30,000 מטבעות וטוקנים.

YZi Labs הובילה את סבב גיוס סדרה B של OneKey לפי שווי של 150 מיליון דולר, עם משקיעים מוקדמים הכוללים את Coinbase Ventures, Dragonfly ו-Ribbit Capital.

למידע נוסף, בקרו ב OneKey App או צפו ברשימת השווקים של OneKey Perps.

_________________________________________________________________________

Bitcoin.com אינה מקבלת כל אחריות או חבות, ולא תהיה אחראית, בין אם במישרין ובין אם בעקיפין, לכל הפסד, נזק, תביעה, עלות או הוצאה מכל סוג, בין אם בפועל, נטענים או תוצאתיים, הנובעים מתוך או בקשר עם השימוש, או ההסתמכות על, כל תוכן, טובין או שירותים המוזכרים במאמר זה. כל הסתמכות על מידע כזה היא על אחריותו הבלעדית של הקורא.