OneKey Anzen sigurnosni tim reproducira zakrpanu Ledgerovu grešku u potpisivanju

Ledgerova ranjivost i OneKeyjeva laboratorijska reprodukcija

Prema Ledgerovom sigurnosnom biltenu, propust u verziji 1.22.1 Ethereum aplikacije mogao bi omogućiti zlonamjernom ili kompromitiranom hostu slanje druge naredbe dok je izvorna transakcija ostala na zaslonu. U tom scenariju korisnik bi mogao pregledavati jednu transakciju, dok bi uređaj potpisao drugačije parametre.

OneKeyjev tim Anzen koristio je Speculos i lokalno izgrađenu izvršnu datoteku kako bi reproducirao scenarij ranjivosti. Tim je tijekom testiranja također riješio problem Speculosa “reset 502”. Ledger navodi da je dodao zaštite na razini aplikacije u Ethereum aplikaciji 1.22.2 13. kolovoza te ispravio temeljni problem u Ledger Secure SDK v26.6.1 21. kolovoza. Tvrtka preporučuje korisnicima da instaliraju Ethereum aplikaciju 1.22.3 ili noviju putem Ledger Livea i provjere verziju aplikacije na svom uređaju. Samo ažuriranje firmvera uređaja nije dovoljno.

„Sigurnosna istraživanja poput ovoga pomažu cijelom ekosustavu hardverskih novčanika da bude korak ispred potencijalnih prijetnji”, rekao je Yishi Wang, CEO i osnivač OneKeyja.. „Sposobnost našeg tima Anzen da reproducira ovaj propust pokazuje vrijednost neovisnog sigurnosnog testiranja u Web3 prostoru.”

O OneKeyju

OneKey nudi samoskrbničku Web3 aplikaciju i kompatibilne hardverske novčanike. Korisnici mogu upravljati imovinom na više lanaca, pristupati DAppovima i DeFi-ju te trgovati perpetual ugovorima bez davanja OneKeyju kontrole nad svojim privatnim ključevima. OneKey App funkcionira kao softverski novčanik ili se povezuje s kompatibilnim hardverskim novčanicima, gdje se privatni ključevi pohranjuju i transakcije potpisuju.

OneKey ne drži korisnička sredstva niti kontrolira ključeve koji se koriste za autorizaciju transakcija. Imovina položena u protokole trećih strana i dalje podliježe pametnim ugovorima tih protokola i povezanim rizicima. OneKey objavljuje otvoreni izvorni kod za OneKey App, dok su repozitoriji firmvera hardverskih novčanika dostupni pod licencama otvorenog koda. Revizije trećih strana koje je proveo SlowMist obuhvatile su OneKey Pro, Classic 1S i OneKey SDK.

OneKey App podržava upravljanje imovinom na više lanaca i DAppovima, rute zamjene i bridgea trećih strana, skupne prijenose na podržanim mrežama te upravljanje adresama. Njegov DeFi odjeljak uključuje prikaze Earn, Borrow i Portfolio za podržane protokole, prikazujući imovinu, dug, nagrade, neto vrijednost i metrike zdravlja. Korisnici mogu polagati imovinu, posuđivati, vraćati dug, preuzimati nagrade i izlaziti iz pozicija putem OneKey Appa na protokolima koji podržavaju te radnje.

Počevši s OneKey App 6.5.0, Gas Sponsorship je dostupan za prihvatljiva slanja tokena i centralno rutirane zamjene na Ethereum Mainnetu, Arbitrum One, BNB Smart Chainu, Polygonu i Baseu, kao i za USDC depozite u Perps na Arbitrumu. Prihvatljivi korisnici mogu dobiti sponzorstvo za do 10 transakcija dnevno, ovisno o dostupnosti i provjerama poštene upotrebe.

SignGuard i Clear Signing pružaju upozorenja na rizik i čitljive detalje transakcije prije potpisivanja, iako se pokrivenost još uvijek širi. Ostale sigurnosne kontrole uključuju skrivanje sumnjivih tokena, pouzdane kontakte i upravljanje autorizacijama. Na iOS-u i Androidu stranice za prikaz privatnog ključa blokiraju snimke zaslona, štite od snimanja zaslona te zamućuju pozadinu.

OneKey Perps, ugrađen u OneKey App, koristi onchain infrastrukturu Hyperliquida za trgovanje perpetual ugovorima. Korisnici polažu kolateral u onchain ugovore protokola te u OneKeyjevoj mobilnoj ili desktop aplikaciji pregledavaju stanja, tržišne podatke, pozicije i naloge. Ovisno o dostupnosti, OneKey Perps može nuditi ugovore vezane uz kriptovalute, američke i globalne dionice, plemenite metale, indekse i ETF-ove, robu, devizno tržište i odabrana pre-IPO tržišta. Dostupni simboli, ograničenja poluge, likvidnost, stope financiranja i regionalni pristup mogu se mijenjati; korisnici bi trebali provjeriti aplikaciju za aktualna tržišta i uvjete.

Korisnici mogu postavljati tržišne i limit naloge, otvarati long ili short pozicije, odabrati način margine i koristiti BBO brze naloge. Prije slanja naloga sučelje prikazuje stope financiranja, postavke margine, naknade i procijenjenu cijenu likvidacije. Push obavijesti pružaju ažuriranja o trgovini, ali ne zamjenjuju aktivno praćenje pozicija.

OneKey navodi više od 1,2 milijuna preuzimanja, više od 120.000 mjesečno aktivnih korisnika i više od 8,45 milijardi dolara imovine u samoskrbništvu. Aplikacija podržava više od 30.000 kovanica i tokena.

YZi Labs predvodio je OneKeyjevu rundu financiranja Serije B pri valuaciji od 150 milijuna dolara, a među ranijim investitorima su Coinbase Ventures, Dragonfly i Ribbit Capital.

Za više informacija posjetite OneKey App ili pogledajte popis tržišta OneKey Perps.

_________________________________________________________________________

Bitcoin.com ne prihvaća nikakvu odgovornost ili obvezu te neće biti odgovoran, bilo izravno ili neizravno, za bilo kakav gubitak, štetu, potraživanje, trošak ili izdatak bilo koje vrste, bilo stvaran, navodni ili posljedični, koji proizlazi iz ili je povezan s korištenjem ili oslanjanjem na bilo koji sadržaj, robu ili usluge navedene u ovom članku. Svako oslanjanje na takve informacije isključivo je na vlastiti rizik čitatelja.