OneKey Anzen-beveiligingsteam reproduceert gepatcht Ledger-ondertekeningslek

De Ledger-kwetsbaarheid en OneKey’s labreproductie

Volgens Ledger’s security bulletin kon een fout in versie 1.22.1 van de Ethereum-app het mogelijk maken dat een kwaadwillende of gecompromitteerde host een tweede commando verstuurt terwijl de oorspronkelijke transactie nog op het scherm stond. In dat scenario kon een gebruiker één transactie beoordelen terwijl het apparaat andere parameters ondertekende.

Het Anzen-team van OneKey gebruikte Speculos en een lokaal gebouwde executable om het kwetsbaarheidsscenario te reproduceren. Het team loste tijdens de tests ook een Speculos-“reset 502”-probleem op. Ledger zegt dat het op app-niveau beschermingen heeft toegevoegd in Ethereum-app 1.22.2 op 13 aug. en het onderliggende probleem heeft verholpen in Ledger Secure SDK v26.6.1 op 21 aug. Het bedrijf raadt gebruikers aan Ethereum-app 1.22.3 of later via Ledger Live te installeren en de appversie op hun apparaat te verifiëren. Alleen het bijwerken van de apparaatfirmware is onvoldoende.

“Beveiligingsonderzoek zoals dit helpt het hele hardware-wallet-ecosysteem om potentiële dreigingen voor te blijven,” zei Yishi Wang, CEO & oprichter van OneKey.. “Het vermogen van ons Anzen-team om deze fout te reproduceren toont de waarde aan van onafhankelijke beveiligingstests in de Web3-ruimte.”

Over OneKey

OneKey biedt een self-custodial Web3-app en compatibele hardware wallets. Gebruikers kunnen multichain-assets beheren, toegang krijgen tot DApps en DeFi, en perpetual contracts verhandelen zonder OneKey controle te geven over hun private keys. OneKey App functioneert als software wallet of maakt verbinding met compatibele hardware wallets, waar private keys worden opgeslagen en transacties worden ondertekend.

OneKey houdt geen gebruikersfondsen aan en beheert geen keys die worden gebruikt om transacties te autoriseren. Assets die in protocollen van derden worden gestort, blijven onderworpen aan de smart contracts van die protocollen en de bijbehorende risico’s. OneKey publiceert open-sourcecode voor OneKey App, terwijl repositories voor hardware-walletfirmware beschikbaar zijn onder open-sourcelicenties. Audits door derden van SlowMist hebben OneKey Pro, Classic 1S en de OneKey SDK beoordeeld.

OneKey App ondersteunt multichain-asset- en DApp-beheer, swap- en bridge-routes van derden, batchtransfers op ondersteunde netwerken en adresbeheer. De DeFi-sectie bevat Earn-, Borrow- en Portfolio-weergaven voor ondersteunde protocollen, met weergave van assets, schuld, rewards, nettowaarde en health-metrics. Gebruikers kunnen assets storten, lenen, terugbetalen, rewards claimen en posities sluiten via OneKey App op protocollen die deze acties ondersteunen.

Vanaf OneKey App 6.5.0 is Gas Sponsorship beschikbaar voor in aanmerking komende tokenverzendingen en centraal gerouteerde swaps op Ethereum Mainnet, Arbitrum One, BNB Smart Chain, Polygon en Base, plus USDC-stortingen naar Perps op Arbitrum. In aanmerking komende gebruikers kunnen sponsoring ontvangen voor maximaal 10 transacties per dag, afhankelijk van beschikbaarheid en fair-use-controles.

SignGuard en Clear Signing bieden risicowaarschuwingen en leesbare transactiedetails vóór ondertekening, al wordt de dekking nog uitgebreid. Andere beveiligingsmaatregelen omvatten het verbergen van verdachte tokens, vertrouwde contacten en autorisatiebeheer. Op iOS en Android blokkeren pagina’s voor het weergeven van private keys screenshots, beschermen ze tegen schermopname en vervagen ze de achtergrond.

OneKey Perps, ingebouwd in OneKey App, gebruikt de onchain-infrastructuur van Hyperliquid voor perpetual-contracthandel. Gebruikers storten onderpand in de onchain-contracten van het protocol en bekijken saldi, marktgegevens, posities en orders in de mobiele of desktopapp van OneKey. Afhankelijk van beschikbaarheid kan OneKey Perps contracten aanbieden die gekoppeld zijn aan cryptocurrencies, Amerikaanse en mondiale aandelen, edelmetalen, indices en ETF’s, grondstoffen, vreemde valuta en geselecteerde pre-IPO-markten. Beschikbare symbolen, leverage-limieten, liquiditeit, funding rates en regionale toegang kunnen veranderen; gebruikers moeten de app raadplegen voor actuele markten en voorwaarden.

Gebruikers kunnen market- en limit-orders plaatsen, long- of shortposities openen, een margin-modus kiezen en BBO-snelorders gebruiken. Vóór het indienen van een order toont de interface funding rates, margin-instellingen, fees en de geschatte liquidatieprijs. Pushmeldingen geven trade-updates, maar vervangen geen actieve monitoring van posities.

OneKey meldt meer dan 1,2 miljoen downloads, meer dan 120.000 maandelijks actieve gebruikers en meer dan $8,45 miljard aan self-custodied assets. De app ondersteunt meer dan 30.000 coins en tokens.

YZi Labs leidde OneKey’s Series B-financieringsronde bij een waardering van $150 miljoen, met eerdere investeerders waaronder Coinbase Ventures, Dragonfly en Ribbit Capital.

Voor meer informatie, bezoek OneKey App of bekijk de OneKey Perps-marktlijst.

_________________________________________________________________________

Bitcoin.com aanvaardt geen verantwoordelijkheid of aansprakelijkheid en is niet aansprakelijk, direct noch indirect, voor enig verlies, schade, claim, kosten of uitgaven van welke aard dan ook, hetzij daadwerkelijk, vermeend of gevolgschade, voortvloeiend uit of in verband met het gebruik van, of het vertrouwen op, enige inhoud, goederen of diensten waarnaar in dit artikel wordt verwezen. Elk vertrouwen dat op dergelijke informatie wordt gesteld, is strikt op eigen risico van de lezer.