Ledger以太坊應用1.22.1版本存在交易替換漏洞，用戶審核交易或與實際簽名不符

Odaily星球日報訊 OneKey Anzen 針對 Ledger 漏洞進行複現，發現 Ledger 以太坊應用 1.22.1 版本存在交易替換漏洞。被攻擊用戶的硬體螢幕仍會顯示正在審核的 A 交易，但設備可能簽署用戶未查看的 B 交易。OneKey Anzen 表示，該問題源於交易顯示邏輯與底層緩衝區之間的競態條件，攻擊前提是主機側已被惡意 DApp 或中間軟體控制。Ledger CTO 曾回應稱漏洞修復已於約兩週前上線，用戶更新應用即可。公開資訊顯示，Ledger GitHub 上 1.22.2 版本的正式標籤於 8 月 24 日出現。Ledger 官網表示，已通過應用級校驗和 SDK 層修復該問題，並於 8 月 21 日發布 Ledger Secure SDK v26.6.1，相關應用已重新建置並發布。用戶需透過 Ledger Live 更新應用，僅更新裝置韌體無法完成修復。Ledger 稱目前沒有證據顯示該漏洞已被實際利用。