OneKey Anzen 보안 팀, 패치된 Ledger 서명 취약점 재현

Ledger 취약점과 OneKey의 랩 재현

Ledger의 보안 공지에 따르면, 이더리움 앱 1.22.1 버전의 결함으로 인해 악성 또는 침해된 호스트가 원래 거래가 화면에 남아 있는 동안 두 번째 명령을 전송할 수 있었다. 그런 시나리오에서는 사용자가 한 거래를 검토하는 동안 기기가 다른 파라미터로 서명할 수 있다.

OneKey의 Anzen 팀은 Speculos와 로컬로 빌드한 실행 파일을 사용해 취약점 시나리오를 재현했다. 팀은 테스트 중 Speculos의 “reset 502” 문제도 해결했다. Ledger는 8월 13일 이더리움 앱 1.22.2에 앱 수준 보호를 추가했으며, 8월 21일 Ledger Secure SDK v26.6.1에서 근본 원인을 수정했다고 밝혔다. 회사는 사용자가 Ledger Live를 통해 이더리움 앱 1.22.3 이상을 설치하고 기기에서 앱 버전을 확인할 것을 권장한다. 기기 펌웨어만 업데이트하는 것으로는 충분하지 않다.

“OneKey의 이런 보안 연구는 하드웨어 월렛 생태계 전체가 잠재적 위협에 앞서 나가도록 돕습니다,”라고 OneKey의 CEO 겸 창립자 Yishi Wang은 말했다.. “우리 Anzen 팀이 이 결함을 재현해낸 것은 Web3 공간에서 독립적 보안 테스트가 지닌 가치를 보여줍니다.”

OneKey 소개

OneKey는 자체 수탁형 Web3 앱과 호환 하드웨어 월렛을 제공한다. 사용자는 OneKey가 자신의 개인키를 통제하지 않는 상태에서 멀티체인 자산을 관리하고, DApp 및 DeFi에 접근하며, 무기한 계약을 거래할 수 있다. OneKey App은 소프트웨어 월렛으로 동작하거나, 개인키가 저장되고 거래가 서명되는 호환 하드웨어 월렛에 연결된다.

OneKey는 사용자 자금을 보관하지 않으며 거래 승인을 위한 키를 통제하지도 않는다. 제3자 프로토콜에 예치된 자산은 해당 프로토콜의 스마트 컨트랙트 및 관련 리스크의 적용을 계속 받는다. OneKey는 OneKey App의 오픈소스 코드를 공개하며, 하드웨어 월렛 펌웨어 저장소도 오픈소스 라이선스 하에 제공된다. SlowMist의 제3자 감사는 OneKey Pro, Classic 1S, 그리고 OneKey SDK를 검토했다.

OneKey App은 멀티체인 자산 및 DApp 관리, 제3자 스왑 및 브리지 라우트, 지원 네트워크에서의 배치 전송, 주소 관리를 지원한다. DeFi 섹션에는 지원 프로토콜을 위한 Earn, Borrow, Portfolio 뷰가 포함되어 자산, 부채, 보상, 순가치, 건전성 지표를 표시한다. 사용자는 이러한 기능을 지원하는 프로토콜에서 OneKey App을 통해 자산을 예치하고, 대출을 받고, 상환하고, 보상을 청구하고, 포지션을 종료할 수 있다.

OneKey App 6.5.0부터 가스 스폰서십(Gas Sponsorship)은 Ethereum Mainnet, Arbitrum One, BNB Smart Chain, Polygon, Base에서 자격을 갖춘 토큰 전송 및 중앙 라우팅 스왑에 제공되며, Arbitrum에서 Perps로의 USDC 예치에도 제공된다. 자격을 갖춘 사용자는 가용성과 공정 사용 점검에 따라 하루 최대 10건의 거래에 대해 스폰서십을 받을 수 있다.

SignGuard와 Clear Signing은 서명 전에 리스크 알림과 읽기 쉬운 거래 상세 정보를 제공하지만, 적용 범위는 아직 확대 중이다. 기타 보안 통제에는 의심 토큰 숨김, 신뢰할 수 있는 연락처, 권한 관리가 포함된다. iOS와 Android에서는 개인키 표시 페이지가 스크린샷을 차단하고, 화면 녹화를 방지하며, 배경을 블러 처리한다.

OneKey App에 내장된 OneKey Perps는 Hyperliquid의 온체인 인프라를 사용해 무기한 계약 거래를 제공한다. 사용자는 담보를 프로토콜의 온체인 컨트랙트에 예치하고, OneKey의 모바일 또는 데스크톱 앱에서 잔고, 시장 데이터, 포지션, 주문을 확인한다. 가용성에 따라 OneKey Perps는 암호화폐, 미국 및 글로벌 주식, 귀금속, 지수 및 ETF, 원자재, 외환, 그리고 일부 프리 IPO 시장에 연동된 계약을 제공할 수 있다. 제공되는 심볼, 레버리지 한도, 유동성, 펀딩 레이트, 지역별 접근성은 변경될 수 있으며 사용자는 최신 시장과 조건을 확인하기 위해 앱을 확인해야 한다.

사용자는 시장가 및 지정가 주문을 넣고, 롱 또는 숏 포지션을 열며, 마진 모드를 선택하고, BBO 퀵 오더를 사용할 수 있다. 주문 제출 전 인터페이스는 펀딩 레이트, 마진 설정, 수수료, 예상 청산가를 표시한다. 푸시 알림은 거래 업데이트를 제공하지만, 활성 포지션에 대한 상시 모니터링을 대체하지는 않는다.

OneKey는 120만 건 이상의 다운로드, 12만 명 이상의 월간 활성 사용자, 84억 5천만 달러 이상의 자체 수탁 자산을 보고하고 있다. 앱은 3만 개 이상의 코인과 토큰을 지원한다.

YZi Labs는 1억 5천만 달러의 기업가치로 진행된 OneKey의 시리즈 B 펀딩 라운드를 주도했으며, 초기 투자자로는 Coinbase Ventures, Dragonfly, Ribbit Capital 등이 있다.

자세한 내용은 OneKey App 을 방문하거나 OneKey Perps 마켓 리스트를 확인하라.

_________________________________________________________________________

Bitcoin.com은 어떠한 책임이나 법적 책임도 지지 않으며, 본 기사에서 언급된 콘텐츠, 상품 또는 서비스의 사용 또는 이에 대한 의존으로 인해 발생하거나 그와 관련하여 발생하는 모든 종류의 손실, 손해, 청구, 비용 또는 지출(실제이든, 주장된 것이든, 결과적이든)에 대해 직접적이든 간접적이든 책임을 지지 않습니다. 그러한 정보에 대한 모든 의존은 전적으로 독자의 책임입니다.