Tim OneKey Anzen mengklaim telah berhasil mereproduksi serangan yang memungkinkan penipuan transaksi di aplikasi Ethereum untuk dompet keras Ledger. Hal ini diungkapkan oleh pendiri dan CEO OneKey, Yishi Wang.
Menurutnya, masalah muncul karena kesalahan dalam interaksi antara tampilan transaksi di layar perangkat dan proses penanganannya. Akibatnya, penyerang dapat mengubah transaksi setelah muncul di layar Ledger, tetapi sebelum ditandatangani.
Skenarionya bisa terlihat seperti ini:
- pengguna melihat transaksi A di layar Ledger;
- memeriksa dan mengonfirmasinya;
- pada saat itu, penyerang menggantinya dengan transaksi B;
- perangkat menandatangani transaksi B, yang tidak dilihat oleh pengguna.
"Kami berhasil meretas Ledger," klaim Wang.
Menurutnya, tim secara mandiri mereproduksi seluruh skenario serangan di kondisi laboratorium — dari momen penggantian transaksi hingga penandatanganannya. Masalah ini terkait aplikasi Ethereum untuk Ledger versi 1.22.1. Diketahui, perusahaan telah memperbaiki kerentanan ini di versi 1.22.3.
Pengguna yang menggunakan versi aplikasi Ethereum untuk Ledger yang lebih lama disarankan untuk memperbarui perangkatnya.
Sebagai pengingat, sebelumnya pengguna X dengan nama samaran x3ideRaven melaporkan menerima email phishing yang menyamar sebagai pesan dari Trezor.
end-content
