Az OneKey Anzen biztonsági csapata sikerült reprodukálnia a Ledger aláírási hibáját, amelyre már javítás készült

A Ledger sebezhetősége és a OneKey laboratóriumi reprodukciója

A Ledger biztonsági közleménye szerint az Ethereum-alkalmazás 1.22.1-es verziójában található hiba lehetővé tehette, hogy egy rosszindulatú vagy kompromittált gazdagép egy második parancsot küldjön, miközben az eredeti tranzakció továbbra is a képernyőn maradt. Ebben az esetben a felhasználó egy tranzakciót ellenőrizhetett, miközben a készülék más paramétereket írt alá.

A OneKey Anzen csapata a Speculos szoftvert és egy helyileg összeállított futtatható fájlt használt a sebezhetőségi forgatókönyv reprodukálásához. A csapat a tesztelés során megoldotta a Speculos „reset 502” hibáját is. A Ledger közlése szerint augusztus 13-án alkalmazásszintű védelmet épített be az Ethereum 1.22.2-es verziójába, majd augusztus 21-én kijavította az alapvető problémát a Ledger Secure SDK v26.6.1-ben. A vállalat azt javasolja a felhasználóknak, hogy a Ledger Live-on keresztül telepítsék az Ethereum 1.22.3-as vagy újabb verzióját, és ellenőrizzék az alkalmazás verzióját a készülékükön. A készülék firmware-jének frissítése önmagában nem elegendő.

„Az ilyen biztonsági kutatások segítenek az egész hardveres pénztárca-ökoszisztémának abban, hogy egy lépéssel a potenciális fenyegetések előtt járjon” – mondta Yishi Wang, a OneKey vezérigazgatója és alapítója. „Az Anzen csapatunknak sikerült reprodukálnia ezt a hibát, ami jól mutatja a független biztonsági tesztelés értékét a Web3 területén.”

A OneKeyről

A OneKey önkezelésű Web3-alkalmazást és kompatibilis hardveres pénztárcákat kínál. A felhasználók több láncon átívelő eszközöket kezelhetnek, hozzáférhetnek a DApp-okhoz és a DeFi-hez, valamint határidő nélküli szerződésekkel kereskedhetnek anélkül, hogy a OneKey-nek átadnák a magánkulcsaik feletti ellenőrzést. A OneKey App szoftveres pénztárcaként működik, vagy csatlakozik kompatibilis hardveres pénztárcákhoz, ahol a magánkulcsokat tárolják és a tranzakciókat aláírják.

A OneKey nem tartja kezelésében a felhasználói pénzeszközöket, és nem ellenőrzi a tranzakciók engedélyezéséhez használt kulcsokat. A harmadik fél protokolljaiba befizetett eszközökre továbbra is az adott protokollok intelligens szerződései és a hozzájuk kapcsolódó kockázatok vonatkoznak. A OneKey nyílt forráskódként teszi közzé az OneKey App kódját, míg a hardveres pénztárcák firmware-tárolói nyílt forráskódú licenc alatt érhetők el. A SlowMist által végzett független auditok során a OneKey Pro, a Classic 1S és a OneKey SDK is átvizsgálásra került.

A OneKey App támogatja a több láncú eszközök és DApp-ok kezelését, harmadik felek által biztosított swap- és hídútvonalakat, a támogatott hálózatokon történő tömeges átutalásokat, valamint a címek kezelését. A DeFi szakasz tartalmazza az „Earn” (Jövedelem), „Borrow” (Hitel) és „Portfolio” (Portfólió) nézeteket a támogatott protokollokhoz, amelyek megjelenítik az eszközöket, az adósságokat, a jutalmakat, a nettó értéket és az állapotmutatókat. A felhasználók az OneKey App segítségével befizethetnek eszközöket, hitelt vehetnek fel, törleszthetnek, igényelhetnek jutalmakat és zárhatják le pozícióikat azokon a protokollokon, amelyek támogatják ezeket a műveleteket.

A OneKey App 6.5.0-s verziójától kezdve a Gas Sponsorship elérhető a jogosult token-küldések és a központilag irányított csereügyletek esetében az Ethereum Mainneten, az Arbitrum One-on, a BNB Smart Chain-en, a Polygonon és a Base-en, valamint az Arbitrumon a Perps-be történő USDC-befizetések esetén. A jogosult felhasználók naponta legfeljebb 10 tranzakcióra kaphatnak támogatást, a rendelkezésre állás és a méltányos használat ellenőrzése függvényében.

A SignGuard és a Clear Signing aláírás előtt kockázati figyelmeztetéseket és olvasható tranzakciós részleteket nyújt, bár a lefedettség még mindig bővül. Egyéb biztonsági ellenőrzések közé tartozik a gyanús tokenek elrejtése, a megbízható kapcsolatok és az engedélyezéskezelés. iOS-en és Androidon a titkos kulcs megjelenítő oldalai blokkolják a képernyőképek készítését, védelmet nyújtanak a képernyőfelvételek ellen, és elmosják a hátteret.

A OneKey Appba beépített OneKey Perps a Hyperliquid láncon belüli infrastruktúráját használja az örökös határidős szerződések kereskedéséhez. A felhasználók biztosítékot helyeznek el a protokoll láncon belüli szerződéseibe, és a OneKey mobil- vagy asztali alkalmazásában tekinthetik meg egyenlegeiket, piaci adataikat, pozícióikat és megbízásaikat. A rendelkezésre állástól függően a OneKey Perps kriptovalutákhoz, amerikai és globális részvényekhez, nemesfémekhez, indexekhez és ETF-ekhez, nyersanyagokhoz, devizákhoz, valamint kiválasztott IPO előtti piacokhoz kötött szerződéseket kínálhat. A rendelkezésre álló szimbólumok, a tőkeáttételi korlátok, a likviditás, a finanszírozási ráták és a regionális hozzáférés változhatnak; a felhasználóknak az alkalmazásban kell ellenőrizniük az aktuális piacokat és feltételeket.

A felhasználók piaci és limit megbízásokat adhatnak le, hosszú vagy rövid pozíciókat nyithatnak, választhatnak fedezeti módot, valamint használhatják a BBO gyorsmegbízásokat. A megbízás leadása előtt a felületen megjelennek a finanszírozási ráták, a fedezeti beállítások, a díjak és a becsült likvidációs ár. A push-értesítések kereskedési frissítéseket nyújtanak, de nem helyettesítik az aktív pozíciók figyelemmel kísérését.

A OneKey adatai szerint több mint 1,2 millió letöltés, több mint 120 000 havi aktív felhasználó és több mint 8,45 milliárd dollárnyi saját kezelésű eszköz áll rendelkezésre. Az alkalmazás több mint 30 000 kriptovalutát és tokent támogat.

A YZi Labs vezette a OneKey B-sorozatú finanszírozási körét 150 millió dolláros értékelés mellett; a korábbi befektetők között szerepelt a Coinbase Ventures, a Dragonfly és a Ribbit Capital.

További információkért látogasson el a OneKey App oldalára, vagy tekintse meg a OneKey Perps piaci listáját.

_________________________________________________________________________

A Bitcoin.com semmiféle felelősséget nem vállal, és sem közvetlenül, sem közvetve nem felel semmiféle veszteségért, kárért, igényért, költségért vagy kiadásért – legyen az tényleges, állítólagos vagy következményes –, amely a cikkben hivatkozott bármely tartalom, áru vagy szolgáltatás használatából vagy azokra való támaszkodásból ered, vagy azzal összefüggésben merül fel. Az ilyen információkra való támaszkodás kizárólag az olvasó saját kockázatára történik.