Ledger以太坊应用1.22.1版本存在交易替换漏洞，用户审核交易或与实际签名不符

Tin Odaily, OneKey Anzen đã tái hiện lỗ hổng trên Ledger và phát hiện rằng phiên bản 1.22.1 của ứng dụng Ethereum trên Ledger tồn tại lỗ hổng thay thế giao dịch. Màn hình phần cứng của người dùng bị tấn công vẫn hiển thị giao dịch A đang được phê duyệt, nhưng thiết bị có thể ký giao dịch B mà người dùng chưa từng xem qua. OneKey Anzen cho biết vấn đề bắt nguồn từ điều kiện cạnh tranh giữa logic hiển thị giao dịch và bộ đệm bên dưới; điều kiện tấn công là phía máy chủ đã bị DApp độc hại hoặc phần mềm trung gian kiểm soát. CTO của Ledger từng phản hồi rằng bản vá lỗ hổng đã được phát hành khoảng hai tuần trước, người dùng chỉ cần cập nhật ứng dụng. Thông tin công khai cho thấy, nhãn chính thức của phiên bản 1.22.2 trên GitHub của Ledger xuất hiện vào ngày 24 tháng 8. Trang web chính thức của Ledger cho biết đã khắc phục vấn đề thông qua lớp kiểm tra tổng cấp ứng dụng và lớp SDK, đồng thời phát hành Ledger Secure SDK v26.6.1 vào ngày 21 tháng 8; các ứng dụng liên quan đã được xây dựng lại và phát hành. Người dùng cần cập nhật ứng dụng qua Ledger Live; chỉ cập nhật chương trình cơ sở của thiết bị sẽ không hoàn tất quá trình sửa lỗi. Ledger cho biết hiện chưa có bằng chứng cho thấy lỗ hổng này đã bị khai thác thực tế.