OneKey Anzen セキュリティチーム、修正済みのLedger署名の脆弱性を再現

Ledgerの脆弱性とOneKeyのラボでの再現

Ledgerのセキュリティブリテンによると、Ethereumアプリのバージョン1.22.1に存在する欠陥により、悪意ある、または侵害されたホストが、元のトランザクションが画面に表示されたままの状態で2つ目のコマンドを送信できる可能性がありました。その場合、ユーザーはあるトランザクションを確認している一方で、デバイスが異なるパラメータに署名してしまう恐れがありました。

OneKeyのAnzenチームは、Speculosとローカルでビルドした実行ファイルを使用して、この脆弱性シナリオを再現しました。チームはテスト中にSpeculosの「reset 502」問題も解決しました。Ledgerによれば、同社は8月13日にEthereumアプリ1.22.2でアプリレベルの保護を追加し、8月21日にLedger Secure SDK v26.6.1で根本原因を修正したとのことです。同社は、ユーザーに対しLedger Live経由でEthereumアプリ1.22.3以降をインストールし、デバイス上でアプリのバージョンを確認するよう推奨しています。デバイスのファームウェアのみを更新しても不十分です。

「このようなセキュリティ研究は、ハードウェアウォレットのエコシステム全体が潜在的な脅威の先を行くのに役立ちます」とOneKeyのCEO兼創業者であるYishi Wang氏は述べました。「当社のAnzenチームがこの欠陥を再現できたことは、Web3分野における独立したセキュリティテストの価値を示しています。」

OneKeyについて

OneKeyは、自己管理型のWeb3アプリおよび互換性のあるハードウェアウォレットを提供しています。ユーザーは、マルチチェーン資産の管理、DAppsおよびDeFiへのアクセス、OneKeyに秘密鍵の管理権限を渡すことなく無期限契約の取引が可能です。OneKey Appはソフトウェアウォレットとして機能するほか、互換性のあるハードウェアウォレットに接続して、秘密鍵を保管しトランザクションに署名します。

OneKeyはユーザー資金を保有せず、トランザクションの承認に用いられる鍵を管理しません。サードパーティプロトコルに預け入れられた資産は、それらプロトコルのスマートコントラクトおよび関連するリスクの対象となります。OneKeyはOneKey Appのオープンソースコードを公開しており、ハードウェアウォレットのファームウェアリポジトリもオープンソースライセンスの下で利用可能です。SlowMistによる第三者監査では、OneKey Pro、Classic 1S、およびOneKey SDKがレビューされています。

OneKey Appは、マルチチェーン資産およびDApp管理、サードパーティのスワップおよびブリッジ経路、対応ネットワークでの一括送金、アドレス管理をサポートします。DeFiセクションには、対応プロトコル向けのEarn、Borrow、Portfolioビューが含まれ、資産、負債、報酬、純資産価値、健全性指標を表示します。ユーザーは、これらの操作をサポートするプロトコルにおいて、OneKey Appを通じて資産の預け入れ、借入、返済、報酬の請求、ポジションのクローズが可能です。

OneKey App 6.5.0以降、Gas Sponsorshipが、Ethereum Mainnet、Arbitrum One、BNB Smart Chain、Polygon、Baseにおける対象トークンの送金および中央ルーティングのスワップ、さらにArbitrum上のPerpsへのUSDC入金に対して利用可能になりました。対象ユーザーは、提供状況および公正利用チェックに従い、1日あたり最大10件のトランザクションについてスポンサーシップを受けられます。

SignGuardとClear Signingは、署名前にリスク警告と読みやすいトランザクション詳細を提供しますが、対応範囲はまだ拡大中です。その他のセキュリティ機能として、疑わしいトークンの非表示、信頼できる連絡先、承認管理があります。iOSおよびAndroidでは、秘密鍵の表示ページでスクリーンショットをブロックし、画面録画を防止し、背景をぼかします。

OneKey Appに統合されているOneKey Perpsは、無期限契約取引のためにHyperliquidのオンチェーン基盤を利用しています。ユーザーは担保をプロトコルのオンチェーンコントラクトに入金し、OneKeyのモバイルまたはデスクトップアプリで残高、市場データ、ポジション、注文を確認できます。提供状況により、OneKey Perpsは暗号資産、米国および世界の株式、貴金属、指数およびETF、コモディティ、外国為替、選定されたプレIPO市場に連動する契約を提供する場合があります。利用可能な銘柄、レバレッジ上限、流動性、資金調達率、地域別の利用可否は変更される可能性があるため、ユーザーはアプリで最新の市場と条件を確認してください。

ユーザーは成行および指値注文を行い、ロングまたはショートのポジションを開き、マージンモードを選択し、BBOクイック注文を利用できます。注文送信前に、インターフェースは資金調達率、マージン設定、手数料、想定清算価格を表示します。プッシュ通知は取引の更新を提供しますが、ポジションの能動的な監視に代わるものではありません。

OneKeyは、ダウンロード数が120万件超、月間アクティブユーザーが12万人超、自己管理型資産が84.5億ドル超に達すると報告しています。同アプリは3万種類以上のコインおよびトークンに対応しています。

YZi Labsは、評価額1億5,000万ドルで実施されたOneKeyのシリーズB資金調達ラウンドを主導し、過去の投資家にはCoinbase Ventures、Dragonfly、Ribbit Capitalが含まれます。

詳細については、 OneKey App をご覧いただくか、 OneKey Perpsのマーケットリストをご確認ください。

_________________________________________________________________________

Bitcoin.comは一切の責任または法的責任を負わず、本記事で参照されているコンテンツ、商品、またはサービスの使用、もしくはそれらへの依拠に起因または関連して生じる、直接的または間接的な、いかなる種類の損失、損害、請求、費用、または支出（実際のもの、主張されたもの、または結果的なものを含む）についても責任を負いません。かかる情報への依拠は、厳密に読者自身の責任で行われるものとします。