Echipa de securitate OneKey Anzen reproduce vulnerabilitatea remediată legată de semnarea Ledger

Vulnerabilitatea Ledger și reproducerea în laborator de către OneKey

Conform buletinului de securitate al Ledger, o defecțiune din versiunea 1.22.1 a aplicației Ethereum ar putea permite unui gazdă rău intenționată sau compromisă să trimită o a doua comandă în timp ce tranzacția originală rămânea afișată pe ecran. În acest scenariu, un utilizator ar putea verifica o tranzacție în timp ce dispozitivul semna parametri diferiți.

Echipa Anzen de la OneKey a folosit Speculos și un executabil compilat local pentru a reproduce scenariul vulnerabilității. Echipa a rezolvat, de asemenea, o problemă „reset 502” a Speculos în timpul testării. Ledger afirmă că a adăugat protecții la nivel de aplicație în aplicația Ethereum 1.22.2 pe 13 august și a remediat problema de bază în Ledger Secure SDK v26.6.1 pe 21 august. Compania recomandă utilizatorilor să instaleze aplicația Ethereum 1.22.3 sau o versiune ulterioară prin Ledger Live și să verifice versiunea aplicației de pe dispozitivul lor. Actualizarea firmware-ului dispozitivului nu este suficientă.

„Cercetările de securitate de acest gen ajută întregul ecosistem al portofelelor hardware să rămână cu un pas înaintea potențialelor amenințări”, a declarat Yishi Wang, CEO și fondator al OneKey. „Capacitatea echipei noastre Anzen de a reproduce această vulnerabilitate demonstrează valoarea testărilor independente de securitate în spațiul Web3.”

Despre OneKey

OneKey oferă o aplicație Web3 cu custodie proprie și portofele hardware compatibile. Utilizatorii pot gestiona active multichain, accesa DApps și DeFi și tranzacționa contracte perpetue fără a-i acorda OneKey controlul asupra cheilor lor private. Aplicația OneKey funcționează ca un portofel software sau se conectează la portofele hardware compatibile, unde sunt stocate cheile private și sunt semnate tranzacțiile.

OneKey nu deține fondurile utilizatorilor și nu controlează cheile folosite pentru autorizarea tranzacțiilor. Activele depuse în protocoale terțe rămân supuse contractelor inteligente ale respectivelor protocoale și riscurilor asociate. OneKey publică codul sursă deschisă pentru aplicația OneKey, iar depozitele de firmware pentru portofelele hardware sunt disponibile sub licențe open-source. Auditurile efectuate de terți prin SlowMist au analizat OneKey Pro, Classic 1S și OneKey SDK.

Aplicația OneKey suportă gestionarea activelor și a aplicațiilor DApp pe mai multe lanțuri de blocuri, rute de swap și bridge ale unor terți, transferuri în lot pe rețelele suportate și gestionarea adreselor. Secțiunea sa DeFi include vizualizări de tip „Câștiguri”, „Împrumuturi” și „Portofoliu” pentru protocoalele acceptate, afișând active, datorii, recompense, valoarea netă și indicatori de sănătate. Utilizatorii pot depune active, împrumuta, rambursa, revendica recompense și închide poziții prin intermediul aplicației OneKey pe protocoalele care acceptă aceste acțiuni.

Începând cu versiunea 6.5.0 a aplicației OneKey, serviciul „Gas Sponsorship” este disponibil pentru tranzacțiile eligibile de trimitere a tokenurilor și pentru swap-urile rute centralizate pe rețeaua principală Ethereum, Arbitrum One, BNB Smart Chain, Polygon și Base, precum și pentru depozitele de USDC în Perps pe Arbitrum. Utilizatorii eligibili pot beneficia de sponsorizare pentru până la 10 tranzacții pe zi, sub rezerva disponibilității și a verificărilor privind utilizarea echitabilă.

SignGuard și Clear Signing oferă alerte de risc și detalii lizibile ale tranzacțiilor înainte de semnare, deși acoperirea este încă în expansiune. Alte controale de securitate includ ascunderea token-urilor suspecte, contactele de încredere și gestionarea autorizațiilor. Pe iOS și Android, paginile de afișare a cheilor private blochează capturile de ecran, protejează împotriva înregistrării ecranului și estompează fundalul.

OneKey Perps, integrat în aplicația OneKey, utilizează infrastructura on-chain a Hyperliquid pentru tranzacționarea contractelor perpetue. Utilizatorii depun garanții în contractele on-chain ale protocolului și vizualizează soldurile, datele de piață, pozițiile și ordinele în aplicația mobilă sau desktop OneKey. În funcție de disponibilitate, OneKey Perps poate oferi contracte legate de criptomonede, acțiuni din SUA și de pe piețele globale, metale prețioase, indici și ETF-uri, mărfuri, cursuri de schimb valutar și anumite piețe pre-IPO. Simbolurile disponibile, limitele de levier, lichiditatea, ratele de finanțare și accesul regional se pot modifica; utilizatorii ar trebui să verifice aplicația pentru a afla piețele și condițiile actuale.

Utilizatorii pot plasa ordine la prețul pieței și ordine limită, pot deschide poziții lungi sau scurte, pot alege un mod de marjă și pot utiliza ordinele rapide BBO. Înainte de trimiterea ordinului, interfața afișează ratele de finanțare, setările de marjă, comisioanele și prețul estimat de lichidare. Notificările push oferă actualizări privind tranzacțiile, dar nu înlocuiesc monitorizarea activă a pozițiilor.

OneKey raportează peste 1,2 milioane de descărcări, peste 120.000 de utilizatori activi lunar și active în custodie proprie de peste 8,45 miliarde de dolari. Aplicația suportă peste 30.000 de monede și tokenuri.

YZi Labs a condus runda de finanțare de serie B a OneKey la o evaluare de 150 de milioane de dolari, printre investitorii anteriori numărându-se Coinbase Ventures, Dragonfly și Ribbit Capital.

Pentru mai multe informații, vizitați aplicația OneKey sau consultați lista de piețe OneKey Perps.

_________________________________________________________________________

Bitcoin.com nu își asumă nicio responsabilitate sau răspundere și nu va fi răspunzător, direct sau indirect, pentru nicio pierdere, prejudiciu, pretenție, cost sau cheltuială de orice fel, fie ea reală, presupusă sau consecventă, care decurge din sau este legată de utilizarea sau bazarea pe orice conținut, bunuri sau servicii menționate în acest articol. Orice încredere acordată acestor informații este strict pe riscul cititorului.