Vào ngày 27 tháng 8 năm 2026, người sáng lập OneKey — công ty sản xuất ví phần cứng và phát triển ứng dụng OneKey App — Yishi Wang tuyên bố trên mạng xã hội X rằng nhóm OneKey Anzen đã thành công trong việc thực hiện cuộc tấn công thay đổi giao dịch trên ứng dụng Ethereum của Ledger phiên bản 1.22.1 trong điều kiện phòng thí nghiệm. Đơn vị con của Ledger — Donjon — cũng đã phản hồi trên cùng nền tảng vào ngày 27 tháng 8 năm 2026 rằng không có người dùng ví phần cứng nào bị ảnh hưởng, và sự việc được mô tả chỉ là một minh chứng trong phòng thí nghiệm về lỗ hổng đã được khắc phục.
Theo Wang, vấn đề được tìm thấy là một tình trạng tranh chấp giữa logic hiển thị giao dịch trên màn hình thiết bị và bộ đệm của chính giao dịch đó. Kẻ tấn công có thể ghi đè lên giao dịch đang chờ ký trong khoảng thời gian người dùng xem xét giao dịch hợp lệ trên màn hình. Kết quả là màn hình hiển thị giao dịch A, người dùng xác nhận chính giao dịch đó, nhưng thiết bị thực tế lại ký vào một giao dịch B hoàn toàn khác mà họ chưa từng thấy. Để kiểm tra cuộc tấn công, nhóm OneKey đã tự tổng hợp tệp ELF phiên bản 1.22.1. Wang lưu ý rằng Ledger đã khắc phục lỗ hổng trong phiên bản ứng dụng 1.22.3, và khuyến nghị chủ sở hữu các phiên bản cũ hơn nên cập nhật.
Trong các bình luận của cộng đồng dưới bài đăng của ông, có thông tin cho rằng lỗi được tìm thấy trùng khớp với lỗ hổng mà nhà nghiên cứu TestMachine đã công khai tiết lộ vào ngày 22 tháng 8 năm 2026, và rằng Ledger đã khắc phục nó từ phiên bản 1.22.2, chứ không phải 1.22.3.
Điều TestMachine đã chia sẻ
Vào ngày 22 tháng 8 năm 2026, nhà nghiên cứu TestMachine thông báo rằng lỗ hổng được phát hiện bởi công cụ quét độc lập Azimuth trong quá trình kiểm tra ứng dụng Ethereum của Ledger. Lỗi đã được xác nhận trên thiết bị Flex, và đoạn mã xử lý chung các lệnh APDU cùng giao diện bị ảnh hưởng cũng được sử dụng trên các mẫu Nano X, Nano S Plus, Stax và Apex. Tại thời điểm công bố, phiên bản đã sửa 1.22.2 vẫn chưa được phát hành. Hai ngày sau, vào ngày 24 tháng 8, TestMachine ghi nhận sự xuất hiện của bản phát hành 1.22.2 trên GitHub với ghi chú "Security issues" và khuyên nên cập nhật ứng dụng thông qua Ledger Live.
Quan điểm của Ledger Donjon
Theo tuyên bố của Donjon, không có trường hợp người dùng thực tế nào bị tấn công được ghi nhận. Vấn đề được phát hiện trong khuôn khổ quy trình bảo mật nội bộ và đã được khắc phục trong phiên bản 1.22.2, phát hành vào ngày 13 tháng 8 năm 2026, tức là trước cả bài đăng của OneKey. Công ty không tìm thấy bằng chứng nào về việc khai thác lỗ hổng trong thực tế. Người dùng được khuyến nghị cập nhật ứng dụng lên phiên bản mới nhất, và ứng dụng Ethereum — tối thiểu lên phiên bản 1.22.3, thông qua Ledger Wallet, đồng thời kiểm tra riêng phiên bản ứng dụng trên chính thiết bị.
Thông báo chính thức LSB 023
Trong thông báo bảo mật chính thức của Ledger mang số hiệu LSB 023 được công bố ngày 27 tháng 8 năm 2026, đã mô tả loại lỗ hổng: trong khi người dùng xem xét giao dịch trên màn hình, thiết bị chủ có thể gửi một lệnh APDU mới chồng lên lệnh trước đó chưa được xử lý, cho phép thay đổi tham số ký sau khi chúng đã được hiển thị cho người dùng, nhưng trước thời điểm ký thực tế. Khiếm khuyết nằm trong xử lý đầu vào/đầu ra của Ledger Secure SDK, chứ không phải trong hệ điều hành thiết bị hoặc phần sụn.
Việc sửa lỗi được thực hiện qua hai giai đoạn:
- Ở cấp độ ứng dụng riêng lẻ — đầu tiên là phiên bản Ethereum 1.22.2 được cập nhật, phát hành ngày 13 tháng 8 năm 2026;
- Ở cấp độ SDK chính — phiên bản v26.6.1 phát hành ngày 21 tháng 8 năm 2026, sau đó các ứng dụng được biên dịch lại với framework đã cập nhật.
Công ty nhấn mạnh rằng chỉ cập nhật phần sụn là không đủ — người dùng cần cập nhật chính các ứng dụng thông qua Ledger Live. Ledger lặp lại rằng không có bằng chứng nào về việc khai thác lỗ hổng chống lại người dùng được phát hiện.
Lịch sử phát hành trên GitHub
Trong kho lưu trữ LedgerHQ/app-ethereum trên GitHub, bản phát hành 1.22.2 được ghi nhận ngày 24 tháng 8 năm 2026 với ghi chú "Security issues", còn bản phát hành 1.22.3 là ngày 26 tháng 8 năm 2026 và bao gồm một loạt các bản sửa lỗi bổ sung liên quan đến cơ chế clear-signing và các đường dẫn xử lý giao dịch khác.
Sự khác biệt trong đánh giá giữa OneKey và Ledger Donjon chỉ xoay quanh phiên bản mà lỗi được khắc phục: 1.22.2 so với 1.22.3. Cả hai bên đều đồng ý rằng người dùng nên cập nhật ứng dụng Ethereum lên phiên bản mới nhất thông qua Ledger Live.
Quan điểm AI
Từ góc độ phân tích dữ liệu máy móc, tranh cãi xung quanh phiên bản 1.22.2 so với 1.22.3 ít quan trọng hơn chính loại lỗi được tìm thấy — tình trạng tranh chấp giữa hiển thị trên màn hình và việc ký giao dịch thực tế. Logic tương tự cũng dễ bị tấn công không chỉ trong các ứng dụng của Ledger: vấn đề tương tự về chuỗi tin cậy đã xuất hiện ở các ví phần cứng khác, nơi khiếm khuyết ở cấp độ bộ tạo số ngẫu nhiên trong ví Coldcard dẫn đến các khóa có thể dự đoán và thiệt hại hàng trăm triệu đô la. Tình huống này minh chứng cho một nguyên tắc chung: bảo mật của ví phần cứng không chỉ dựa vào một mắt xích — phần sụn, SDK hay ứng dụng — mà dựa vào toàn bộ chuỗi thành phần cùng lúc, và sự đứt gãy ở bất kỳ mắt xích nào sẽ làm mất giá trị các biện pháp bảo vệ còn lại.
Một chi tiết kỹ thuật nằm ngoài cuộc thảo luận: các chu kỳ cập nhật riêng biệt cho ứng dụng và SDK, như trường hợp ứng dụng Ethereum và Ledger Secure SDK, tạo ra một khoảng thời gian mà một phần của hệ sinh thái đã được bảo vệ, còn phần khác thì chưa. Điều gì sẽ xảy ra nếu những khoảng thời gian như vậy bắt đầu được tìm thấy nhanh hơn tốc độ nhà sản xuất kịp khắc phục chúng?
end-content
