摘要：Ledger在以太坊应用中发现并修复一处潜在高危漏洞，引发其与第三方研究机构在披露时间线上的分歧。尽管公司称补丁已提前部署，但测试方指出存在理论攻击路径，用户仍需及时更新固件以防范风险。
币圈界报道：
Ledger以太坊应用安全缺陷完成闭环修复
据首席技术官Charles Guillemet披露，Ledger在其以太坊应用中识别出一项安全问题，并已在公开通报前完成修复。相关补丁的发布早于外部研究人员提交报告约两周，表明内部安全团队具备前置响应能力。
透明交易预览机制面临隐蔽指令威胁
作为硬件加密资产存储领域的领先者，Ledger在其以太坊应用中引入了直观交易预览功能，使用户可在设备端直接读取交易金额、接收地址及智能合约交互内容等关键信息，降低因解析原始十六进制数据带来的误操作风险。
然而，网络安全机构TestMachine通过其专用工具Azimuth验证了一种新型攻击场景：当用户正在审查初始交易信息时，恶意应用程序可向设备发送第二个隐藏指令。该行为可能导致实际执行的交易远超用户所见授权范围，例如将一次小额转账伪装为对代币的全面审批权限授予。
该攻击依赖于应用与设备间通信链路的未充分验证机制。尽管尚未有证据显示该漏洞已被大规模利用，但测试方强调，在用户仅依赖屏幕显示而缺乏额外校验的情况下，存在显著的潜在风险。
TestMachine描述了一个典型情境：用户看到的是一个常规交易确认界面，而后台却悄然触发了另一笔具有广泛权限的请求。该公司表示其发现已通过实验验证，并拒绝接受Ledger提供的漏洞奖励，以维护独立性。
修复进度与披露流程存在时间差争议
该漏洞最初由Ledger内部安全小组Ledger Donjon借助人工智能驱动的代码分析系统识别。Guillemet确认，补丁已在正式报告发布前完成部署，且当TestMachine联系其赏金计划时，修复方案已对外公开。
不过，TestMachine指出，其使用Ledger Flex设备进行测试后发现，该漏洞可能影响包括Nano X、Nano S Plus、Stax和Apex在内的多款主流型号。尽管受影响设备范围较广，但目前尚无任何资金损失案例被证实。
Ledger的开源代码库记录了8月多项安全更新，主要聚焦于签名状态管理与消息处理逻辑优化。然而，具体哪一版本解决了此次问题，官方仍未明确说明。
Guillemet回应称，TestMachine是在修复措施生效后才提交报告，质疑其未事先与漏洞赏金团队沟通补丁状态，进而制造了不必要的市场焦虑。
TestMachine则坚持其遵循了标准的责任披露流程，并强调其时间线与Ledger公开声明之间仍存不一致之处。
用户防护建议与历史事件区分
Ledger已呼吁所有用户立即升级设备固件、以太坊应用及其配套软件，确保获得完整保护。公司特别提醒，仅更新桌面或移动端客户端无法弥补未更新的应用程序漏洞。
同时，厂商强调用户必须在批准前仔细核对设备屏幕上呈现的全部交易细节。对于涉及智能合约的操作，盲目签署（即“盲签”）可能使用户暴露于未显式展示的恶意逻辑风险之中。
Ledger澄清，本次发现的漏洞与此前导致私钥泄露的Zilliqa相关事件无关。后者曾波及使用Zilliqa应用的多个钱包实例。针对此次以太坊签名漏洞，目前既无资金追偿机制，也未发布详细的受影响版本清单。
设备型号 受报告漏洞影响情况 补丁状态
Flex 经测试，可能受影响 已修补
Nano X 可能受影响 已修补
Nano S Plus 可能受影响 已修补
Stax 可能受影响 已修补
Apex 可能受影响 已修补
声明：本站所有文章内容，均为采集网络资源，不代表本站观点及立场，不构成任何投资建议！如若内容侵犯了原著者的合法权益，可联系本站删除。