OneKey Anzens säkerhetsteam återskapar den åtgärdade säkerhetsbristen i Ledger-signeringen

Sårbarheten i Ledger och OneKeys reproduktion i laboratoriet

Enligt Ledgers säkerhetsmeddelande kunde en brist i version 1.22.1 av Ethereum-appen göra det möjligt för en illvillig eller komprometterad värd att skicka ett andra kommando medan den ursprungliga transaktionen fortfarande visades på skärmen. I det scenariot kunde en användare granska en transaktion medan enheten signerade andra parametrar.

OneKeys Anzen-team använde Speculos och ett lokalt kompilerat körbart program för att återskapa sårbarhetsscenariot. Teamet löste även ett ”reset 502”-problem i Speculos under testningen. Ledger uppger att man lade till skydd på appnivå i Ethereum-appen 1.22.2 den 13 augusti och åtgärdade det underliggande problemet i Ledger Secure SDK v26.6.1 den 21 augusti. Företaget rekommenderar att användare installerar Ethereum-appen 1.22.3 eller senare via Ledger Live och kontrollerar appversionen på sin enhet. Det räcker inte att endast uppdatera enhetens firmware.

”Säkerhetsforskning som denna hjälper hela ekosystemet för hårdvaruplånböcker att ligga steget före potentiella hot”, säger Yishi Wang, VD och grundare av OneKey. ”Vårt Anzen-teams förmåga att återskapa denna brist visar värdet av oberoende säkerhetstestning inom Web3-området.”

Om OneKey

OneKey erbjuder en Web3-app med egen förvaring och kompatibla hårdvaruplånböcker. Användare kan hantera tillgångar på flera blockkedjor, få tillgång till DApps och DeFi samt handla med eviga kontrakt utan att ge OneKey kontroll över sina privata nycklar. OneKey-appen fungerar som en mjukvaruplånbok eller ansluts till kompatibla hårdvaruplånböcker, där privata nycklar lagras och transaktioner signeras.

OneKey förvarar inte användarnas medel och kontrollerar inte nycklar som används för att godkänna transaktioner. Tillgångar som deponeras i tredjepartsprotokoll omfattas fortfarande av dessa protokolls smarta kontrakt och tillhörande risker. OneKey publicerar öppen källkod för OneKey-appen, medan firmware-arkiven för hårdvaruplånböckerna är tillgängliga under öppen källkodslicenser. Tredjepartsgranskningar utförda av SlowMist har granskat OneKey Pro, Classic 1S och OneKey SDK.

OneKey-appen stöder hantering av tillgångar och DApp:er över flera blockkedjor, tredjeparts-swap- och bryggvägar, batchöverföringar på stödda nätverk samt adresshantering. Dess DeFi-sektion innehåller vyerna ”Earn”, ”Borrow” och ”Portfolio” för stödda protokoll, där tillgångar, skulder, belöningar, nettovärde och hälsostatistik visas. Användare kan sätta in tillgångar, låna, återbetala, hämta ut belöningar och avsluta positioner via OneKey-appen på protokoll som stöder dessa åtgärder.

Från och med OneKey App 6.5.0 är Gas Sponsorship tillgängligt för kvalificerade tokenöverföringar och centralt dirigerade swappar på Ethereum Mainnet, Arbitrum One, BNB Smart Chain, Polygon och Base, samt USDC-insättningar till Perps på Arbitrum. Berättigade användare kan få sponsring för upp till 10 transaktioner per dag, beroende på tillgänglighet och kontroller av rimlig användning.

SignGuard och Clear Signing tillhandahåller riskvarningar och läsbara transaktionsdetaljer före signering, även om täckningen fortfarande utökas. Andra säkerhetskontroller inkluderar döljning av misstänkta token, betrodda kontakter och behörighetshantering. På iOS och Android blockerar sidorna för visning av privata nycklar skärmdumpar, skyddar mot skärminspelning och suddar ut bakgrunden.

OneKey Perps, som är inbyggt i OneKey-appen, använder Hyperliquids on-chain-infrastruktur för handel med eviga kontrakt. Användare sätter in säkerheter i protokollets on-chain-kontrakt och kan se saldon, marknadsdata, positioner och order i OneKeys mobil- eller datorapp. Beroende på tillgänglighet kan OneKey Perps erbjuda kontrakt kopplade till kryptovalutor, amerikanska och globala aktier, ädelmetaller, index och ETF:er, råvaror, valutor samt utvalda marknader före börsintroduktion. Tillgängliga symboler, hävstångsgränser, likviditet, finansieringsräntor och regional tillgång kan ändras; användare bör kontrollera appen för aktuella marknader och villkor.

Användare kan lägga marknads- och limitorder, öppna långa eller korta positioner, välja ett marginalläge och använda BBO-snabbordrar. Innan ordern skickas visar gränssnittet finansieringsräntor, marginalinställningar, avgifter och beräknat likvidationspris. Push-meddelanden ger uppdateringar om handeln men ersätter inte aktiv övervakning av positioner.

OneKey rapporterar över 1,2 miljoner nedladdningar, mer än 120 000 aktiva användare per månad och tillgångar i egen förvaring på över 8,45 miljarder dollar. Appen stöder över 30 000 kryptovalutor och tokens.

YZi Labs ledde OneKeys finansieringsrunda i serie B till en värdering på 150 miljoner dollar, med tidigare investerare som Coinbase Ventures, Dragonfly och Ribbit Capital.

För mer information, besök OneKey-appen eller se marknadslistan för OneKey Perps.

_________________________________________________________________________

Bitcoin.com tar inget ansvar och kan inte hållas ansvarigt, varken direkt eller indirekt, för förluster, skador, anspråk, kostnader eller utgifter av något slag, vare sig faktiska, påstådda eller följdskador, som uppstår till följd av eller i samband med användning av eller förlitan på innehåll, varor eller tjänster som omnämns i denna artikel. Allt förlitande på sådan information sker helt och hållet på läsarens egen risk.