Nhóm An ninh OneKey Anzen đã tái hiện được lỗ hổng ký kết trên Ledger dù đã được vá

Lỗ hổng của Ledger và quá trình tái tạo trong phòng thí nghiệm của OneKey

Theo bản tin bảo mật của Ledger, một lỗ hổng trong phiên bản 1.22.1 của ứng dụng Ethereum có thể cho phép một máy chủ độc hại hoặc bị xâm nhập gửi lệnh thứ hai trong khi giao dịch ban đầu vẫn hiển thị trên màn hình. Trong trường hợp đó, người dùng có thể xem xét một giao dịch trong khi thiết bị ký các tham số khác.

Đội ngũ Anzen của OneKey đã sử dụng Speculos và một tệp thực thi được xây dựng cục bộ để tái hiện kịch bản lỗ hổng bảo mật này. Nhóm cũng đã khắc phục sự cố "reset 502" của Speculos trong quá trình thử nghiệm. Ledger cho biết họ đã bổ sung các biện pháp bảo vệ ở cấp độ ứng dụng trong ứng dụng Ethereum phiên bản 1.22.2 vào ngày 13 tháng 8 và khắc phục vấn đề cốt lõi trong Ledger Secure SDK v26.6.1 vào ngày 21 tháng 8. Công ty khuyến nghị người dùng cài đặt ứng dụng Ethereum phiên bản 1.22.3 trở lên thông qua Ledger Live và xác minh phiên bản ứng dụng trên thiết bị của mình. Chỉ cập nhật phần mềm cơ sở (firmware) của thiết bị là chưa đủ.

"Các nghiên cứu bảo mật như thế này giúp toàn bộ hệ sinh thái ví phần cứng luôn đi trước các mối đe dọa tiềm ẩn," Yishi Wang, CEO kiêm Nhà sáng lập của OneKey, cho biết. "Khả năng tái hiện lỗ hổng này của đội ngũ Anzen của chúng tôi chứng minh giá trị của việc kiểm thử bảo mật độc lập trong không gian Web3."

Giới thiệu về OneKey

OneKey cung cấp ứng dụng Web3 tự quản lý và các ví phần cứng tương thích. Người dùng có thể quản lý tài sản đa chuỗi, truy cập DApps và DeFi, cũng như giao dịch hợp đồng vĩnh viễn mà không cần trao quyền kiểm soát khóa riêng tư cho OneKey. Ứng dụng OneKey hoạt động như một ví phần mềm hoặc kết nối với các ví phần cứng tương thích, nơi khóa riêng tư được lưu trữ và các giao dịch được ký kết.

OneKey không giữ tiền của người dùng hoặc kiểm soát các khóa dùng để ủy quyền giao dịch. Tài sản được gửi vào các giao thức của bên thứ ba vẫn tuân theo các hợp đồng thông minh của các giao thức đó và các rủi ro liên quan. OneKey công bố mã nguồn mở cho ứng dụng OneKey, trong khi các kho lưu trữ phần mềm ví phần cứng được cung cấp theo các giấy phép nguồn mở. Các cuộc kiểm toán bên thứ ba do SlowMist thực hiện đã đánh giá OneKey Pro, Classic 1S và OneKey SDK.

Ứng dụng OneKey hỗ trợ quản lý tài sản đa chuỗi và DApp, các tuyến swap và bridge của bên thứ ba, chuyển khoản hàng loạt trên các mạng được hỗ trợ, cũng như quản lý địa chỉ. Phần DeFi của ứng dụng bao gồm các chế độ xem Kiếm tiền, Vay và Danh mục đầu tư cho các giao thức được hỗ trợ, hiển thị tài sản, nợ, phần thưởng, giá trị ròng và các chỉ số sức khỏe. Người dùng có thể gửi tài sản, vay, trả nợ, nhận phần thưởng và đóng vị thế thông qua ứng dụng OneKey App trên các giao thức hỗ trợ các hành động này.

Bắt đầu từ OneKey App 6.5.0, tính năng Tài trợ Gas (Gas Sponsorship) đã có sẵn cho các giao dịch gửi token đủ điều kiện và các giao dịch hoán đổi được định tuyến tập trung trên Ethereum Mainnet, Arbitrum One, BNB Smart Chain, Polygon và Base, cùng với việc nạp USDC vào Perps trên Arbitrum. Người dùng đủ điều kiện có thể nhận hỗ trợ phí Gas cho tối đa 10 giao dịch mỗi ngày, tùy thuộc vào tình trạng sẵn có và các kiểm tra về việc sử dụng hợp lý.

SignGuard và Clear Signing cung cấp cảnh báo rủi ro và chi tiết giao dịch dễ đọc trước khi ký, mặc dù phạm vi phủ sóng vẫn đang được mở rộng. Các biện pháp bảo mật khác bao gồm ẩn token đáng ngờ, danh sách liên hệ tin cậy và quản lý ủy quyền. Trên iOS và Android, các trang hiển thị khóa riêng tư chặn chụp màn hình, bảo vệ chống ghi màn hình và làm mờ nền.

OneKey Perps, được tích hợp sẵn trong ứng dụng OneKey, sử dụng cơ sở hạ tầng trên chuỗi của Hyperliquid để giao dịch hợp đồng vĩnh viễn. Người dùng gửi tài sản thế chấp vào các hợp đồng trên chuỗi của giao thức và xem số dư, dữ liệu thị trường, vị thế và lệnh giao dịch trong ứng dụng di động hoặc máy tính để bàn của OneKey. Tùy thuộc vào tính khả dụng, OneKey Perps có thể cung cấp các hợp đồng liên quan đến tiền điện tử, cổ phiếu Mỹ và toàn cầu, kim loại quý, chỉ số và quỹ ETF, hàng hóa, ngoại hối, cũng như một số thị trường tiền IPO được chọn lọc. Các mã giao dịch, giới hạn đòn bẩy, thanh khoản, tỷ lệ tài trợ và quyền truy cập theo khu vực có thể thay đổi; người dùng nên kiểm tra ứng dụng để cập nhật thông tin về thị trường và điều khoản hiện hành.

Người dùng có thể đặt lệnh thị trường và lệnh giới hạn, mở vị thế mua hoặc bán, chọn chế độ ký quỹ và sử dụng lệnh nhanh BBO. Trước khi gửi lệnh, giao diện sẽ hiển thị tỷ lệ tài trợ, cài đặt ký quỹ, phí và giá thanh lý ước tính. Thông báo đẩy cung cấp cập nhật giao dịch nhưng không thay thế việc theo dõi vị thế chủ động.

OneKey báo cáo hơn 1,2 triệu lượt tải xuống, hơn 120.000 người dùng hoạt động hàng tháng và hơn 8,45 tỷ USD tài sản tự quản lý. Ứng dụng hỗ trợ hơn 30.000 loại tiền điện tử và token.

YZi Labs dẫn đầu vòng gọi vốn Series B của OneKey với mức định giá 150 triệu USD, cùng các nhà đầu tư trước đó bao gồm Coinbase Ventures, Dragonfly và Ribbit Capital.

Để biết thêm thông tin, hãy truy cập Ứng dụng OneKey hoặc xem danh sách thị trường OneKey Perps.

_________________________________________________________________________

Bitcoin.com không chịu bất kỳ trách nhiệm hoặc nghĩa vụ pháp lý nào, và sẽ không phải chịu trách nhiệm, dù trực tiếp hay gián tiếp, đối với bất kỳ tổn thất, thiệt hại, khiếu nại, chi phí hoặc khoản chi nào dưới bất kỳ hình thức nào, dù là thực tế, được cho là có hay gián tiếp, phát sinh từ hoặc liên quan đến việc sử dụng hoặc dựa vào bất kỳ nội dung, hàng hóa hoặc dịch vụ nào được đề cập trong bài viết này. Việc dựa vào những thông tin này hoàn toàn do người đọc tự chịu rủi ro.