Команда безпеки OneKey Anzen відтворила виправлену вразливість у процесі підписання в Ledger

Уразливість у додатку Ledger та відтворення проблеми в лабораторії OneKey

Згідно з бюлетенем безпеки Ledger, недолік у версії 1.22.1 додатка Ethereum міг дозволити зловмиснику або зламаному хосту надіслати другу команду, поки оригінальна транзакція залишалася на екрані. У такому випадку користувач міг переглядати одну транзакцію, тоді як пристрій підписував інші параметри.

Команда Anzen компанії OneKey використала Speculos та локально скомпільований виконуваний файл, щоб відтворити сценарій уразливості. Під час тестування команда також усунула проблему «reset 502» у Speculos. Компанія Ledger повідомляє, що 13 серпня додала засоби захисту на рівні додатка в Ethereum 1.22.2, а 21 серпня виправила основну проблему в Ledger Secure SDK v26.6.1. Компанія рекомендує користувачам встановити додаток Ethereum версії 1.22.3 або пізнішої через Ledger Live та перевірити версію додатка на своєму пристрої. Одного лише оновлення прошивки пристрою недостатньо.

«Такі дослідження в галузі безпеки допомагають усій екосистемі апаратних гаманців випереджати потенційні загрози», — зазначив Іші Ван, генеральний директор та засновник OneKey. «Здатність нашої команди Anzen відтворити цю вразливість демонструє цінність незалежного тестування безпеки в просторі Web3».

Про OneKey

OneKey пропонує автономний додаток Web3 та сумісні апаратні гаманці. Користувачі можуть керувати мультичейн-активами, отримувати доступ до DApps та DeFi, а також торгувати безстроковими контрактами, не надаючи OneKey контролю над своїми приватними ключами. Додаток OneKey працює як програмний гаманець або підключається до сумісних апаратних гаманців, де зберігаються приватні ключі та підписуються транзакції.

OneKey не зберігає кошти користувачів і не контролює ключі, що використовуються для авторизації транзакцій. Активи, депоновані в протоколах третіх сторін, залишаються підпорядкованими смарт-контрактам цих протоколів та пов’язаним з ними ризикам. OneKey публікує відкритий вихідний код додатка OneKey App, а репозиторії прошивок апаратних гаманців доступні за ліцензіями з відкритим кодом. Незалежні аудити, проведені компанією SlowMist, охопили OneKey Pro, Classic 1S та OneKey SDK.

Додаток OneKey підтримує управління активами та децентралізованими додатками (DApp) у різних ланцюгах, сторонні маршрути обміну та містків, пакетні перекази в підтримуваних мережах, а також управління адресами. Розділ DeFi додатка містить вкладки «Заробляти», «Позичати» та «Портфель» для підтримуваних протоколів, де відображаються активи, заборгованість, винагороди, чиста вартість та показники стану. Користувачі можуть вносити активи, брати позики, погашати заборгованість, отримувати винагороди та закривати позиції через додаток OneKey App у протоколах, що підтримують ці дії.

Починаючи з версії OneKey App 6.5.0, функція «Gas Sponsorship» доступна для відповідних відправлень токенів та централізовано маршрутизованих свопів у мережах Ethereum Mainnet, Arbitrum One, BNB Smart Chain, Polygon та Base, а також для депозитів USDC у Perps на Arbitrum. Користувачі, що відповідають вимогам, можуть отримувати спонсорство на максимум 10 транзакцій на день, за умови наявності коштів та проходження перевірки на дотримання принципів справедливого використання.

SignGuard та Clear Signing надають попередження про ризики та зрозумілу інформацію про транзакції перед підписанням, хоча охоплення цих функцій все ще розширюється. Інші засоби контролю безпеки включають приховування підозрілих токенів, надійні контакти та управління авторизацією. На iOS та Android сторінки відображення приватних ключів блокують створення скріншотів, захищають від запису екрану та розмивають фон.

OneKey Perps, вбудований у додаток OneKey, використовує ончейн-інфраструктуру Hyperliquid для торгівлі безстроковими контрактами. Користувачі вносять заставу в ончейн-контракти протоколу та переглядають баланси, ринкові дані, позиції та ордери в мобільному або настільному додатку OneKey. Залежно від доступності, OneKey Perps може пропонувати контракти, прив’язані до криптовалют, американських та світових акцій, дорогоцінних металів, індексів та ETF, сировинних товарів, валют, а також окремих ринків до первинного розміщення акцій (pre-IPO). Доступні символи, ліміти кредитного плеча, ліквідність, ставки фінансування та регіональний доступ можуть змінюватися; користувачам слід перевіряти в додатку актуальні ринки та умови.

Користувачі можуть розміщувати ринкові та лімітні ордери, відкривати довгі або короткі позиції, обирати режим маржі та використовувати швидкі ордери BBO. Перед подачею ордера в інтерфейсі відображаються ставки фінансування, налаштування маржі, комісії та орієнтовна ціна ліквідації. Push-сповіщення надають оновлення щодо торгів, але не замінюють активного моніторингу позицій.

OneKey повідомляє про понад 1,2 мільйона завантажень, понад 120 000 активних користувачів щомісяця та понад 8,45 мільярда доларів активів, що знаходяться під самостійним зберіганням. Додаток підтримує понад 30 000 монет і токенів.

Компанія YZi Labs очолила раунд фінансування серії B для OneKey з оцінкою в 150 мільйонів доларів; серед попередніх інвесторів — Coinbase Ventures, Dragonfly та Ribbit Capital.

Для отримання додаткової інформації відвідайте додаток OneKey або перегляньте список ринків OneKey Perps.

_________________________________________________________________________

Bitcoin.com не несе жодної відповідальності та не буде нести відповідальності, прямо чи опосередковано, за будь-які збитки, шкоду, претензії, витрати чи видатки будь-якого роду, фактичні, передбачувані чи наслідкові, що виникають у зв’язку з використанням або покладанням на будь-який контент, товари чи послуги, згадані в цій статті. Покладання на таку інформацію здійснюється виключно на власний ризик читача.