Il team di sicurezza OneKey Anzen riproduce la falla di firma di Ledger corretta con una patch

La vulnerabilità di Ledger e la riproduzione in laboratorio di OneKey

Secondo il bollettino di sicurezza di Ledger, un difetto nella versione 1.22.1 dell’app Ethereum potrebbe consentire a un host malevolo o compromesso di inviare un secondo comando mentre la transazione originale rimaneva sullo schermo. In questo scenario, un utente potrebbe esaminare una transazione mentre il dispositivo firma parametri differenti.

Il team Anzen di OneKey ha utilizzato Speculos e un eseguibile compilato localmente per riprodurre lo scenario della vulnerabilità. Il team ha inoltre risolto un problema di Speculos “reset 502” durante i test. Ledger afferma di aver aggiunto protezioni a livello di app nell’app Ethereum 1.22.2 il 13 agosto e di aver corretto il problema sottostante nel Ledger Secure SDK v26.6.1 il 21 agosto. L’azienda raccomanda agli utenti di installare l’app Ethereum 1.22.3 o successiva tramite Ledger Live e di verificare la versione dell’app sul proprio dispositivo. Il solo aggiornamento del firmware del dispositivo è insufficiente.

“La ricerca sulla sicurezza come questa aiuta l’intero ecosistema dei wallet hardware a rimanere un passo avanti rispetto alle potenziali minacce”, ha dichiarato Yishi Wang, CEO & Founder di OneKey.. “La capacità del nostro team Anzen di riprodurre questo difetto dimostra il valore dei test di sicurezza indipendenti nello spazio Web3.”

Informazioni su OneKey

OneKey offre un’app Web3 self-custodial e wallet hardware compatibili. Gli utenti possono gestire asset multichain, accedere a DApp e DeFi e fare trading di contratti perpetui senza concedere a OneKey il controllo delle proprie chiavi private. OneKey App funziona come wallet software oppure si connette a wallet hardware compatibili, dove le chiavi private vengono conservate e le transazioni vengono firmate.

OneKey non detiene fondi degli utenti né controlla le chiavi utilizzate per autorizzare le transazioni. Gli asset depositati in protocolli di terze parti restano soggetti agli smart contract di tali protocolli e ai rischi associati. OneKey pubblica codice open-source per OneKey App, mentre i repository del firmware dei wallet hardware sono disponibili con licenze open-source. Audit di terze parti da parte di SlowMist hanno esaminato OneKey Pro, Classic 1S e l’SDK OneKey.

OneKey App supporta la gestione di asset e DApp multichain, percorsi di swap e bridge di terze parti, trasferimenti batch su reti supportate e gestione degli indirizzi. La sua sezione DeFi include viste Earn, Borrow e Portfolio per i protocolli supportati, mostrando asset, debito, ricompense, valore netto e metriche di salute. Gli utenti possono depositare asset, prendere in prestito, rimborsare, reclamare ricompense e chiudere posizioni tramite OneKey App sui protocolli che supportano queste azioni.

A partire da OneKey App 6.5.0, Gas Sponsorship è disponibile per invii di token idonei e swap instradati centralmente su Ethereum Mainnet, Arbitrum One, BNB Smart Chain, Polygon e Base, oltre ai depositi USDC su Perps su Arbitrum. Gli utenti idonei possono ricevere sponsorizzazione per fino a 10 transazioni al giorno, soggetta a disponibilità e a controlli di fair use.

SignGuard e Clear Signing forniscono avvisi di rischio e dettagli di transazione leggibili prima della firma, anche se la copertura è ancora in espansione. Altri controlli di sicurezza includono l’occultamento dei token sospetti, contatti fidati e gestione delle autorizzazioni. Su iOS e Android, le pagine di visualizzazione delle chiavi private bloccano gli screenshot, proteggono dalla registrazione dello schermo e sfocano lo sfondo.

OneKey Perps, integrato in OneKey App, utilizza l’infrastruttura onchain di Hyperliquid per il trading di contratti perpetui. Gli utenti depositano collaterale nei contratti onchain del protocollo e visualizzano saldi, dati di mercato, posizioni e ordini nell’app mobile o desktop di OneKey. A seconda della disponibilità, OneKey Perps può offrire contratti legati a criptovalute, azioni statunitensi e globali, metalli preziosi, indici ed ETF, materie prime, cambi valutari e mercati pre-IPO selezionati. Simboli disponibili, limiti di leva, liquidità, tassi di funding e accesso regionale possono cambiare; gli utenti dovrebbero controllare l’app per mercati e termini aggiornati.

Gli utenti possono inserire ordini a mercato e limit, aprire posizioni long o short, scegliere una modalità di margine e usare ordini rapidi BBO. Prima dell’invio dell’ordine, l’interfaccia mostra tassi di funding, impostazioni di margine, commissioni e prezzo di liquidazione stimato. Le notifiche push forniscono aggiornamenti sulle operazioni ma non sostituiscono il monitoraggio attivo delle posizioni.

OneKey riporta oltre 1,2 milioni di download, oltre 120.000 utenti attivi mensili e più di 8,45 miliardi di dollari in asset in self-custody. L’app supporta oltre 30.000 monete e token.

YZi Labs ha guidato il round di finanziamento Series B di OneKey con una valutazione di 150 milioni di dollari, con investitori precedenti tra cui Coinbase Ventures, Dragonfly e Ribbit Capital.

Per maggiori informazioni, visita OneKey App oppure consulta l’elenco dei mercati di OneKey Perps.

_________________________________________________________________________

Bitcoin.com non accetta alcuna responsabilità o obbligazione e non potrà essere ritenuta responsabile, né direttamente né indirettamente, per qualsiasi perdita, danno, reclamo, costo o spesa di qualunque tipo, sia effettiva, presunta o consequenziale, derivante da o in connessione con l’uso di, o l’affidamento su, qualsiasi contenuto, bene o servizio citato in questo articolo. Qualsiasi affidamento riposto su tali informazioni è esclusivamente a rischio del lettore.