Команда OneKey воспроизвела в лаборатории атаку на Ledger Ethereum App 1.22.1. Уязвимость позволяла показать пользователю одну транзакцию, а перед подписанием изменить ее реквизиты и направить средства на другой адрес.

Для атаки злоумышленнику требовалось контролировать связь между устройством и компьютером, то есть через вредоносное ПО, скомпрометированное приложение кошелька или мошеннический сайт.

Ledger исправила проблему в версии 1.22.2 еще 13 августа, а позднее устранила ее причину в Secure SDK. Компания не обнаружила случаев использования уязвимости против реальных пользователей.

Владельцам Ledger рекомендуется обновить прошивку и установить Ethereum App версии 1.22.3 или новее через официальное приложение Ledger Wallet.