Zespół ds. bezpieczeństwa OneKey Anzen odtworzył naprawioną lukę w procesie podpisywania transakcji w Ledgerze

Luka w zabezpieczeniach aplikacji Ledger i odtworzenie jej w laboratorium OneKey

Zgodnie z biuletynem bezpieczeństwa firmy Ledger luka w wersji 1.22.1 aplikacji Ethereum mogła pozwolić złośliwemu lub przejętemu hostowi na wysłanie drugiego polecenia, podczas gdy pierwotna transakcja pozostawała widoczna na ekranie. W takim scenariuszu użytkownik mógł przeglądać jedną transakcję, podczas gdy urządzenie podpisywało inne parametry.

Zespół Anzen z OneKey wykorzystał Speculos oraz lokalnie skompilowany plik wykonywalny, aby odtworzyć scenariusz wykorzystania luki. Zespół rozwiązał również problem „reset 502” w Speculos podczas testów. Firma Ledger informuje, że 13 sierpnia dodała zabezpieczenia na poziomie aplikacji w aplikacji Ethereum 1.22.2, a 21 sierpnia naprawiła podstawową usterkę w Ledger Secure SDK v26.6.1. Firma zaleca użytkownikom zainstalowanie aplikacji Ethereum w wersji 1.22.3 lub nowszej za pośrednictwem Ledger Live oraz sprawdzenie wersji aplikacji na swoim urządzeniu. Sama aktualizacja oprogramowania sprzętowego urządzenia nie jest wystarczająca.

„Takie badania nad bezpieczeństwem pomagają całemu ekosystemowi portfeli sprzętowych wyprzedzać potencjalne zagrożenia” – powiedział Yishi Wang, dyrektor generalny i założyciel OneKey. „Zdolność naszego zespołu Anzen do odtworzenia tej luki świadczy o wartości niezależnych testów bezpieczeństwa w przestrzeni Web3”.

O OneKey

OneKey oferuje aplikację Web3 z samodzielnym przechowywaniem aktywów oraz kompatybilne portfele sprzętowe. Użytkownicy mogą zarządzać aktywami w wielu łańcuchach bloków, uzyskiwać dostęp do aplikacji DApps i DeFi oraz handlować kontraktami wieczystymi bez przekazywania firmie OneKey kontroli nad swoimi kluczami prywatnymi. Aplikacja OneKey działa jako portfel programowy lub łączy się z kompatybilnymi portfelami sprzętowymi, w których przechowywane są klucze prywatne i podpisywane są transakcje.

OneKey nie przechowuje środków użytkowników ani nie kontroluje kluczy używanych do autoryzacji transakcji. Aktywa zdeponowane w protokołach stron trzecich podlegają nadal inteligentnym kontraktom tych protokołów i związanym z nimi ryzykom. OneKey publikuje kod źródłowy aplikacji OneKey na licencji open source, a repozytoria oprogramowania sprzętowego portfeli są dostępne na licencjach open source. Niezależne audyty przeprowadzone przez firmę SlowMist objęły produkty OneKey Pro, Classic 1S oraz zestaw SDK OneKey.

Aplikacja OneKey obsługuje zarządzanie aktywami w wielu łańcuchach bloków oraz aplikacjami DApp, zewnętrzne trasy wymiany i mostów, transfery zbiorcze w obsługiwanych sieciach oraz zarządzanie adresami. Sekcja DeFi zawiera widoki „Earn”, „Borrow” i „Portfolio” dla obsługiwanych protokołów, wyświetlające aktywa, zadłużenie, nagrody, wartość netto oraz wskaźniki kondycji. Użytkownicy mogą wpłacać aktywa, zaciągać pożyczki, spłacać zadłużenie, odbierać nagrody oraz zamykać pozycje za pośrednictwem aplikacji OneKey App w protokołach obsługujących te działania.

Począwszy od wersji 6.5.0 aplikacji OneKey, funkcja Gas Sponsorship jest dostępna dla kwalifikujących się przesyłek tokenów oraz centralnie kierowanych swapów w sieciach Ethereum Mainnet, Arbitrum One, BNB Smart Chain, Polygon i Base, a także dla wpłat USDC na kontrakty Perps w sieci Arbitrum. Kwalifikujący się użytkownicy mogą otrzymać sponsorowanie maksymalnie 10 transakcji dziennie, z zastrzeżeniem dostępności i kontroli zgodności z zasadami uczciwego użytkowania.

SignGuard i Clear Signing zapewniają alerty o ryzyku oraz czytelne szczegóły transakcji przed podpisaniem, choć zasięg tych funkcji wciąż się rozszerza. Inne mechanizmy bezpieczeństwa obejmują ukrywanie podejrzanych tokenów, zaufane kontakty oraz zarządzanie uprawnieniami. Na systemach iOS i Android strony wyświetlające klucze prywatne blokują zrzuty ekranu, chronią przed nagrywaniem ekranu oraz rozmywają tło.

OneKey Perps, wbudowany w aplikację OneKey, wykorzystuje infrastrukturę łańcucha bloków Hyperliquid do handlu kontraktami wieczystymi. Użytkownicy wpłacają zabezpieczenie do kontraktów łańcucha bloków protokołu i przeglądają salda, dane rynkowe, pozycje oraz zlecenia w aplikacji mobilnej lub stacjonarnej OneKey. W zależności od dostępności OneKey Perps może oferować kontrakty powiązane z kryptowalutami, akcjami amerykańskimi i światowymi, metalami szlachetnymi, indeksami i funduszami ETF, towarami, walutami oraz wybranymi rynkami przed debiutem giełdowym (pre-IPO). Dostępne symbole, limity dźwigni finansowej, płynność, stawki finansowania oraz dostęp regionalny mogą ulegać zmianom; użytkownicy powinni sprawdzać w aplikacji aktualne rynki i warunki.

Użytkownicy mogą składać zlecenia rynkowe i limitowe, otwierać pozycje długie lub krótkie, wybierać tryb depozytu zabezpieczającego oraz korzystać z szybkich zleceń BBO. Przed złożeniem zlecenia interfejs wyświetla stawki finansowania, ustawienia depozytu zabezpieczającego, opłaty oraz szacowaną cenę likwidacji. Powiadomienia push dostarczają aktualności dotyczące transakcji, ale nie zastępują aktywnego monitorowania pozycji.

OneKey odnotowuje ponad 1,2 miliona pobrań, ponad 120 000 aktywnych użytkowników miesięcznie oraz ponad 8,45 mld dolarów aktywów przechowywanych we własnym zakresie. Aplikacja obsługuje ponad 30 000 monet i tokenów.

YZi Labs poprowadziło rundę finansowania serii B OneKey przy wycenie na 150 milionów dolarów, a wśród wcześniejszych inwestorów znaleźli się Coinbase Ventures, Dragonfly i Ribbit Capital.

Aby uzyskać więcej informacji, odwiedź stronę aplikacji OneKey lub zapoznaj się z listą rynków OneKey Perps.

_________________________________________________________________________

Bitcoin.com nie ponosi żadnej odpowiedzialności i nie będzie ponosić odpowiedzialności, ani bezpośrednio, ani pośrednio, za jakiekolwiek straty, szkody, roszczenia, koszty lub wydatki jakiegokolwiek rodzaju, rzeczywiste, domniemane lub wynikowe, wynikające z lub związane z korzystaniem z lub poleganiem na jakichkolwiek treściach, towarach lub usługach, o których mowa w niniejszym artykule. Korzystanie z tych informacji odbywa się wyłącznie na własne ryzyko czytelnika.