Bezpečnostný tím OneKey Anzen opäť reprodukoval opravenú chybu v procese podpisovania v Ledgeri

Zraniteľnosť v aplikácii Ledger a jej reprodukcia v laboratóriu OneKey

Podľa bezpečnostného bulletinu spoločnosti Ledger by chyba vo verzii 1.22.1 aplikácie Ethereum mohla umožniť zlovestnému alebo kompromitovanému hostiteľovi odoslať druhý príkaz, zatiaľ čo pôvodná transakcia zostala na obrazovke. V takomto scenári by mohol používateľ kontrolovať jednu transakciu, zatiaľ čo zariadenie by podpisovalo odlišné parametre.

Tím Anzen spoločnosti OneKey použil nástroj Speculos a lokálne vytvorený spustiteľný súbor na reprodukciu scenára zraniteľnosti. Tím počas testovania vyriešil aj problém „reset 502“ v nástroji Speculos. Spoločnosť Ledger uvádza, že 13. augusta pridala ochranu na úrovni aplikácie do aplikácie Ethereum 1.22.2 a 21. augusta opravila základný problém v Ledger Secure SDK v26.6.1. Spoločnosť odporúča používateľom nainštalovať aplikáciu Ethereum 1.22.3 alebo novšiu verziu prostredníctvom Ledger Live a overiť si verziu aplikácie na svojom zariadení. Samotná aktualizácia firmvéru zariadenia nestačí.

„Takýto bezpečnostný výskum pomáha celému ekosystému hardvérových peňaženiek predchádzať potenciálnym hrozbám,“ uviedol Yishi Wang, generálny riaditeľ a zakladateľ spoločnosti OneKey. „Schopnosť nášho tímu Anzen reprodukovať túto chybu demonštruje hodnotu nezávislého bezpečnostného testovania v prostredí Web3.“

O spoločnosti OneKey

OneKey ponúka aplikáciu Web3 so samostatnou správou a kompatibilné hardvérové peňaženky. Používatelia môžu spravovať aktíva vo viacerých reťazcoch, pristupovať k DApps a DeFi a obchodovať s nekonečnými kontraktmi bez toho, aby OneKey poskytli kontrolu nad ich súkromnými kľúčmi. Aplikácia OneKey funguje ako softvérová peňaženka alebo sa pripája ku kompatibilným hardvérovým peňaženkám, kde sú uložené súkromné kľúče a kde sa podpisujú transakcie.

OneKey nedrží prostriedky používateľov ani nekontroluje kľúče používané na autorizáciu transakcií. Aktíva vložené do protokolov tretích strán podliehajú naďalej inteligentným zmluvám týchto protokolov a súvisiacim rizikám. OneKey zverejňuje zdrojový kód aplikácie OneKey App ako open source, zatiaľ čo repozitáre firmvéru hardvérových peňaženiek sú dostupné pod licenciami open source. Nezávislé audity vykonané spoločnosťou SlowMist preskúmali produkty OneKey Pro, Classic 1S a OneKey SDK.

Aplikácia OneKey podporuje správu aktív a DApp v rôznych reťazcoch, swapové a mostové trasy tretích strán, hromadné prevody v podporovaných sieťach a správu adries. Jej sekcia DeFi obsahuje zobrazenia „Získať“, „Pôžička“ a „Portfólio“ pre podporované protokoly, kde sa zobrazujú aktíva, dlhy, odmeny, čistá hodnota a ukazovatele zdravia. Používatelia môžu prostredníctvom aplikácie OneKey vkladať aktíva, požičiavať si, splácať, vyberať odmeny a uzatvárať pozície v protokoloch, ktoré tieto akcie podporujú.

Od verzie aplikácie OneKey 6.5.0 je k dispozícii sponzorovanie poplatkov (Gas Sponsorship) pre oprávnené odosielanie tokenov a centrálne smerované výmeny na sieťach Ethereum Mainnet, Arbitrum One, BNB Smart Chain, Polygon a Base, ako aj pre vklady USDC do Perps na Arbitrum. Oprávnení používatelia môžu získať sponzorstvo až na 10 transakcií denne, v závislosti od dostupnosti a kontrol spravodlivého používania.

SignGuard a Clear Signing poskytujú upozornenia na riziká a prehľadné podrobnosti o transakciách pred podpísaním, hoci ich pokrytie sa stále rozširuje. Medzi ďalšie bezpečnostné kontroly patrí skrytie podozrivých tokenov, dôveryhodné kontakty a správa autorizácií. Na platformách iOS a Android stránky so zobrazením súkromného kľúča blokujú snímky obrazovky, chránia pred nahrávaním obrazovky a rozmazávajú pozadie.

OneKey Perps, integrovaný do aplikácie OneKey, využíva on-chain infraštruktúru Hyperliquid na obchodovanie s nekonečnými kontraktmi. Používatelia vkladajú kolaterál do on-chain kontraktov protokolu a v mobilnej alebo desktopovej aplikácii OneKey si môžu prezerať zostatky, trhové údaje, pozície a objednávky. V závislosti od dostupnosti môže OneKey Perps ponúkať zmluvy viazané na kryptomeny, americké a globálne akcie, drahé kovy, indexy a ETF, komodity, devízový trh a vybrané trhy pred vstupom na burzu (pre-IPO). Dostupné symboly, limity pákového efektu, likvidita, sadzby financovania a regionálny prístup sa môžu meniť; používatelia by si mali v aplikácii overiť aktuálne trhy a podmienky.

Užívatelia môžu zadávať trhové a limitné príkazy, otvárať dlhé alebo krátke pozície, vybrať si režim marže a využívať rýchle príkazy BBO. Pred odoslaním príkazu rozhranie zobrazuje sadzby financovania, nastavenia marže, poplatky a odhadovanú likvidačnú cenu. Push notifikácie poskytujú aktualizácie o obchodoch, nenahrádzajú však aktívne monitorovanie pozícií.

OneKey vykazuje viac ako 1,2 milióna stiahnutí, viac ako 120 000 aktívnych používateľov mesačne a aktíva v samospráve v hodnote viac ako 8,45 miliardy USD. Aplikácia podporuje viac ako 30 000 mincí a tokenov.

Spoločnosť YZi Labs viedla kolo financovania série B aplikácie OneKey s hodnotou 150 miliónov USD, pričom medzi predchádzajúcich investorov patrili Coinbase Ventures, Dragonfly a Ribbit Capital.

Ďalšie informácie nájdete na stránke aplikácie OneKey alebo v zozname trhov OneKey Perps.

_________________________________________________________________________

Bitcoin.com neprijíma žiadnu zodpovednosť ani ručenie a nenesie žiadnu zodpovednosť, či už priamo alebo nepriamo, za akúkoľvek stratu, škodu, nárok, náklady alebo výdavky akéhokoľvek druhu, či už skutočné, údajné alebo následné, vyplývajúce z alebo súvisiace s používaním alebo spoliehaním sa na akýkoľvek obsah, tovar alebo služby uvedené v tomto článku. Spoliehanie sa na takéto informácie je výlučne na vlastné riziko čitateľa.