ทีมรักษาความปลอดภัย OneKey Anzen ทำซ้ำช่องโหว่การลงนามของ Ledger ที่ได้รับการแพตช์แล้ว

ช่องโหว่ของ Ledger และการจำลองในห้องแล็บของ OneKey

ตามประกาศด้านความปลอดภัยของ Ledger ข้อบกพร่องในแอป Ethereum เวอร์ชัน 1.22.1 อาจทำให้โฮสต์ที่เป็นอันตรายหรือถูกยึดครองสามารถส่งคำสั่งที่สองได้ ขณะที่ธุรกรรมเดิมยังคงแสดงอยู่บนหน้าจอ ในสถานการณ์นั้น ผู้ใช้อาจตรวจสอบธุรกรรมหนึ่งรายการ แต่ตัวอุปกรณ์กลับลงนาม (sign) ด้วยพารามิเตอร์ที่แตกต่างออกไป

ทีม Anzen ของ OneKey ใช้ Speculos และไฟล์ปฏิบัติการที่สร้างขึ้นในเครื่องเพื่อจำลองสถานการณ์ช่องโหว่นี้ ทีมยังแก้ไขปัญหา Speculos “reset 502” ระหว่างการทดสอบด้วย Ledger ระบุว่าได้เพิ่มการป้องกันระดับแอปในแอป Ethereum 1.22.2 เมื่อวันที่ 13 ส.ค. และแก้ไขปัญหาต้นตอใน Ledger Secure SDK v26.6.1 เมื่อวันที่ 21 ส.ค. บริษัทแนะนำให้ผู้ใช้ติดตั้งแอป Ethereum 1.22.3 ขึ้นไปผ่าน Ledger Live และตรวจสอบเวอร์ชันแอปบนอุปกรณ์ของตน การอัปเดตเฟิร์มแวร์ของอุปกรณ์เพียงอย่างเดียวไม่เพียงพอ

“งานวิจัยด้านความปลอดภัยเช่นนี้ช่วยให้ทั้งระบบนิเวศของฮาร์ดแวร์วอลเล็ตก้าวนำหน้าภัยคุกคามที่อาจเกิดขึ้นได้” ยีซือ หวัง (Yishi Wang) ซีอีโอและผู้ก่อตั้ง OneKey กล่าว.. “ความสามารถของทีม Anzen ของเราในการจำลองข้อบกพร่องนี้ได้ แสดงให้เห็นถึงคุณค่าของการทดสอบความปลอดภัยแบบอิสระในพื้นที่ Web3”

เกี่ยวกับ OneKey

OneKey นำเสนอแอป Web3 แบบ self-custodial และฮาร์ดแวร์วอลเล็ตที่ใช้งานร่วมกันได้ ผู้ใช้สามารถจัดการสินทรัพย์แบบมัลติเชน เข้าถึง DApps และ DeFi และเทรดสัญญาเพอร์เพทชวล (perpetual contracts) ได้โดยไม่ต้องมอบการควบคุมคีย์ส่วนตัวให้กับ OneKey OneKey App ทำงานเป็นซอฟต์แวร์วอลเล็ต หรือเชื่อมต่อกับฮาร์ดแวร์วอลเล็ตที่รองรับ ซึ่งเป็นที่เก็บคีย์ส่วนตัวและใช้ลงนามธุรกรรม

OneKey ไม่ถือครองเงินของผู้ใช้หรือควบคุมคีย์ที่ใช้ในการอนุมัติธุรกรรม สินทรัพย์ที่ฝากไว้ในโปรโตคอลของบุคคลที่สามยังคงอยู่ภายใต้สัญญาอัจฉริยะ (smart contracts) ของโปรโตคอลเหล่านั้นและความเสี่ยงที่เกี่ยวข้อง OneKey เผยแพร่โค้ดโอเพนซอร์สสำหรับ OneKey App ขณะที่รีโพซิทอรีเฟิร์มแวร์ของฮาร์ดแวร์วอลเล็ตมีให้ภายใต้ไลเซนส์โอเพนซอร์ส การตรวจสอบโดยบุคคลที่สามจาก SlowMist ได้ทบทวน OneKey Pro, Classic 1S และ OneKey SDK แล้ว

OneKey App รองรับการจัดการสินทรัพย์มัลติเชนและ DApp เส้นทางสว็อปและบริดจ์ของบุคคลที่สาม การโอนแบบเป็นชุด (batch transfers) บนเครือข่ายที่รองรับ และการจัดการที่อยู่ ส่วน DeFi ของแอปประกอบด้วยมุมมอง Earn, Borrow และ Portfolio สำหรับโปรโตคอลที่รองรับ โดยแสดงสินทรัพย์ หนี้ รางวัล มูลค่าสุทธิ และตัวชี้วัดสุขภาพ (health metrics) ผู้ใช้สามารถฝากสินทรัพย์ ยืม ชำระคืน เคลมรางวัล และออกจากสถานะ (exit positions) ผ่าน OneKey App บนโปรโตคอลที่รองรับการดำเนินการเหล่านี้

เริ่มตั้งแต่ OneKey App 6.5.0 มีฟีเจอร์ Gas Sponsorship สำหรับการส่งโทเคนที่เข้าเกณฑ์และสว็อปที่ถูกเราต์แบบรวมศูนย์ (centrally routed swaps) บน Ethereum Mainnet, Arbitrum One, BNB Smart Chain, Polygon และ Base รวมถึงการฝาก USDC ไปยัง Perps บน Arbitrum ผู้ใช้ที่เข้าเกณฑ์สามารถได้รับการสนับสนุนค่าแก๊สได้สูงสุด 10 ธุรกรรมต่อวัน ทั้งนี้ขึ้นอยู่กับความพร้อมให้บริการและการตรวจสอบการใช้งานอย่างเป็นธรรม (fair-use checks)

SignGuard และ Clear Signing ให้การแจ้งเตือนความเสี่ยงและรายละเอียดธุรกรรมที่อ่านเข้าใจได้ก่อนลงนาม แม้ว่าขอบเขตการครอบคลุมยังอยู่ระหว่างการขยาย การควบคุมด้านความปลอดภัยอื่น ๆ รวมถึงการซ่อนโทเคนที่น่าสงสัย ผู้ติดต่อที่เชื่อถือได้ และการจัดการการอนุญาต (authorization management) บน iOS และ Android หน้าการแสดงคีย์ส่วนตัวจะบล็อกการจับภาพหน้าจอ ป้องกันการบันทึกหน้าจอ และทำให้พื้นหลังเบลอ

OneKey Perps ซึ่งสร้างอยู่ใน OneKey App ใช้โครงสร้างพื้นฐานแบบออนเชนของ Hyperliquid สำหรับการเทรดสัญญาเพอร์เพทชวล ผู้ใช้ฝากหลักประกัน (collateral) เข้าไปในสัญญาออนเชนของโปรโตคอล และดูยอดคงเหลือ ข้อมูลตลาด สถานะ และคำสั่งซื้อขายได้ในแอปมือถือหรือเดสก์ท็อปของ OneKey ทั้งนี้ขึ้นอยู่กับความพร้อมให้บริการ OneKey Perps อาจมีสัญญาที่อ้างอิงกับคริปโทเคอร์เรนซี หุ้นสหรัฐฯ และหุ้นทั่วโลก โลหะมีค่า ดัชนีและ ETF สินค้าโภคภัณฑ์ อัตราแลกเปลี่ยนเงินตราต่างประเทศ และตลาดก่อน IPO ที่คัดเลือกไว้ สัญลักษณ์ที่มีให้บริการ ขีดจำกัดเลเวอเรจ สภาพคล่อง อัตราฟันดิง (funding rates) และการเข้าถึงตามภูมิภาคอาจเปลี่ยนแปลงได้ ผู้ใช้ควรตรวจสอบในแอปสำหรับตลาดและเงื่อนไขปัจจุบัน

ผู้ใช้สามารถวางคำสั่งแบบตลาดและแบบจำกัดราคา (limit) เปิดสถานะ Long หรือ Short เลือกโหมดมาร์จิ้น และใช้คำสั่งด่วน BBO ก่อนส่งคำสั่ง อินเทอร์เฟซจะแสดงอัตราฟันดิง การตั้งค่ามาร์จิ้น ค่าธรรมเนียม และราคาล้างพอร์ตโดยประมาณ (estimated liquidation price) การแจ้งเตือนแบบพุชให้ข้อมูลอัปเดตการเทรด แต่ไม่สามารถทดแทนการติดตามสถานะแบบแอ็กทีฟได้

OneKey รายงานว่ามียอดดาวน์โหลดมากกว่า 1.2 ล้านครั้ง ผู้ใช้งานรายเดือนมากกว่า 120,000 ราย และสินทรัพย์ที่ดูแลด้วยตนเองมากกว่า 8.45 พันล้านดอลลาร์ แอปรองรับเหรียญและโทเคนมากกว่า 30,000 รายการ

YZi Labs เป็นผู้นำรอบระดมทุน Series B ของ OneKey ที่มูลค่ากิจการ 150 ล้านดอลลาร์ โดยมีนักลงทุนก่อนหน้า ได้แก่ Coinbase Ventures, Dragonfly และ Ribbit Capital

สำหรับข้อมูลเพิ่มเติม โปรดเยี่ยมชม OneKey App หรือดูรายการตลาด OneKey Perps.

_________________________________________________________________________

Bitcoin.com ไม่รับผิดชอบหรือมีความรับผิดใด ๆ และจะไม่รับผิดต่อความสูญเสีย ความเสียหาย การเรียกร้อง ค่าใช้จ่าย หรือรายจ่ายใด ๆ ไม่ว่าโดยตรงหรือโดยอ้อม ไม่ว่าจะเป็นความเสียหายที่เกิดขึ้นจริง ที่ถูกกล่าวอ้าง หรือเป็นผลสืบเนื่อง ที่เกิดขึ้นจากหรือเกี่ยวข้องกับการใช้ หรือการอาศัยเนื้อหา สินค้า หรือบริการใด ๆ ที่อ้างถึงในบทความนี้ การพึ่งพาข้อมูลดังกล่าวถือเป็นความเสี่ยงของผู้อ่านเองโดยสิ้นเชิง