OneKey 安全团队复现已修复的 Ledger 签名漏洞

Ledger 漏洞与 OneKey 的实验室复现

根据 Ledger 的安全公告，以太坊应用 1.22.1 版本中的一处缺陷可能允许恶意或被攻陷的主机在原始交易仍显示在屏幕上时发送第二条指令。在这种情况下，用户可能正在审核一笔交易，但设备实际签署的是不同的参数。

OneKey 的 Anzen 团队使用 Speculos 和本地构建的可执行文件复现了该漏洞场景。团队还在测试过程中解决了 Speculos 的“reset 502”问题。Ledger 表示，其已于 8 月 13 日在以太坊应用 1.22.2 中加入应用层防护，并于 8 月 21 日在 Ledger Secure SDK v26.6.1 中修复了底层问题。公司建议用户通过 Ledger Live 安装以太坊应用 1.22.3 或更高版本，并在设备上核对应用版本。仅更新设备固件并不足够。

“OneKey 这样的安全研究有助于整个硬件钱包生态系统领先于潜在威胁，”OneKey CEO 兼创始人 Yishi Wang 表示。“我们 Anzen 团队能够复现该缺陷，证明了在 Web3 领域进行独立安全测试的价值。”

关于 OneKey

OneKey 提供自托管 Web3 应用以及兼容的硬件钱包。用户可在不将私钥控制权交给 OneKey 的情况下，管理多链资产、访问 DApp 与 DeFi，并交易永续合约。OneKey App 可作为软件钱包使用，或连接兼容硬件钱包，在硬件钱包中存储私钥并完成交易签名。

OneKey 不持有用户资金，也不控制用于授权交易的密钥。存入第三方协议的资产仍受这些协议的智能合约及其相关风险约束。OneKey 为 OneKey App 发布开源代码，而硬件钱包固件代码库也在开源许可下提供。SlowMist 的第三方审计已覆盖 OneKey Pro、Classic 1S 以及 OneKey SDK。

OneKey App 支持多链资产与 DApp 管理、第三方兑换与跨链桥路由、在支持的网络上进行批量转账以及地址管理。其 DeFi 板块包含对支持协议的 Earn、Borrow 和 Portfolio 视图，展示资产、负债、奖励、净值与健康度指标。用户可通过 OneKey App 在支持这些操作的协议上进行资产存入、借款、还款、领取奖励以及退出仓位。

自 OneKey App 6.5.0 起，在以太坊主网、Arbitrum One、BNB Smart Chain、Polygon 和 Base 上，符合条件的代币发送与中心化路由的兑换可使用 Gas 赞助，另包含在 Arbitrum 上向 Perps 存入 USDC。符合条件的用户每天最多可获得 10 笔交易的赞助，具体取决于可用性与公平使用检查。

SignGuard 与 Clear Signing 会在签名之前提供风险警报和可读的交易细节，不过覆盖范围仍在扩展。其他安全控制包括可疑代币隐藏、可信联系人与授权管理。在 iOS 与 Android 上，私钥显示页面会阻止截图、防止屏幕录制，并对背景进行模糊处理。

内置于 OneKey App 的 OneKey Perps 使用 Hyperliquid 的链上基础设施进行永续合约交易。用户将抵押品存入该协议的链上合约，并在 OneKey 的移动端或桌面端应用中查看余额、市场数据、仓位与订单。视可用性而定，OneKey Perps 可能提供与加密货币、美国及全球股票、贵金属、指数与 ETF、大宗商品、外汇以及部分 IPO 前市场相关的合约。可用交易标的、杠杆上限、流动性、资金费率与区域可访问性可能会变化；用户应在应用内查看当前市场与条款。

用户可下市价单与限价单，开立多头或空头仓位，选择保证金模式，并使用 BBO 快速下单。提交订单前，界面会显示资金费率、保证金设置、手续费与预估强平价格。推送通知提供交易更新，但不能替代对持仓的主动监控。

OneKey 报告称其下载量超过 120 万次，月活跃用户超过 12 万，且自托管资产超过 84.5 亿美元。该应用支持超过 30,000 种币与代币。

YZi Labs 以 1.5 亿美元估值领投 OneKey 的 B 轮融资，早期投资方包括 Coinbase Ventures、Dragonfly 和 Ribbit Capital。

更多信息请访问 OneKey App 或查看 OneKey Perps市场列表。

_________________________________________________________________________

Bitcoin.com 不承担任何责任或义务，且无论直接或间接，均不对因使用或依赖本文所提及的任何内容、商品或服务而产生或与之相关的任何类型的损失、损害、索赔、成本或费用（无论是真实的、被指称的或结果性的）承担责任。对该等信息作出的任何依赖均完全由读者自行承担风险。