Eine Sicherheitsfirma für künstliche Intelligenz (KI) machte öffentlich auf einen Fehler in der Ledger Ethereum-App aufmerksam. Ledger sagt, dass der Fehler bereits zwei Wochen zuvor stillschweigend behoben wurde.
Der Chief Technology Officer Charles Guillemet nannte die Offenlegung Panikmache. Der Patch wurde am 12. August mit einer einzeiligen Notiz und ohne Sicherheitsbulletin veröffentlicht.
Was der Ledger Ethereum App Bug tatsächlich tat
Ledger verkauft ein zentrales Versprechen. Der Bildschirm zeigt Ihnen, was Sie unterschreiben. Dieses Versprechen hat einen Namen. Ledger nennt es klares Signieren, und es verwandelt den rohen Transaktionscode in einfache Worte auf dem Bildschirm des Geräts.
TestMachine sagt, dass es einen Weg gefunden hat, das zu umgehen. Die Firma entwickelt einen KI-Agenten namens Azimuth, der nach Exploits in Smart Contracts sucht. In ihrem eigenen EVMBench-Benchmark fängt Azimuth 86,3 % der bekannten Fehler mit etwa 2,7 % falsch positiven Ergebnissen.
Hier ist der Fehler in einfachen Worten. Eine bösartige Website könnte dem Gerät einen zweiten Befehl senden, während Sie noch den ersten lesen.
Der Kanal zwischen Browser und Gerät wird als Application Protocol Data Unit oder APDU bezeichnet. Er hörte während der Überprüfung weiter zu. Daher akzeptierte er den Tausch.
Sie würden einen kleinen Transfer auf dem Bildschirm lesen. Dann würden Sie auf Genehmigen tippen. Und Sie würden tatsächlich eine unbegrenzte Token-Genehmigung an einen Fremden unterschreiben.
Dieser letzte Teil ist der Grund, warum das wichtig ist. Chainalysis hat seit Mai 2021 etwa 1 Milliarde Dollar an gestohlenem Krypto durch Genehmigungsphishing zurückverfolgt. Diese Opfer haben die Genehmigungen selbst unterschrieben.
TestMachine sagt, dass der Fehler auf einem Ledger Flex bestätigt wurde. Ledger hat mehr als 7 Millionen Geräte in 180 Ländern verkauft.
Ledger’s Donjon-Team sagt, dass es zuerst da war.
Guillemet dreht den Zeitstrahl um. Donjon ist Ledgers internes Hackerteam. Er sagt, es habe den Fehler mit eigenen KI-Tools entdeckt und die Lösung zuerst veröffentlicht.
Das öffentliche Änderungsprotokoll bestätigt das Datum. Version 1.22.2 wurde am 12. August veröffentlicht. In der gesamten Sicherheitsnotiz steht „Sicherheitsprobleme.“
Donjon hat 22 nummerierte Sicherheitsbulletins veröffentlicht. Keines davon behandelt diesen Fehler. Das neueste, datiert auf den 4. Juni, befasst sich stattdessen mit einem Monero-Schlüsselwiederherstellungsproblem.
Diese Stille ist die Lücke, in die TestMachine hineingegangen ist. Ledger hat das Loch geschlossen, dann nie den Besitzern gesagt, was es geschlossen hat.
Guillemet's schärferer Beschwerdepunkt betrifft die Umgangsformen. Er sagt, TestMachine habe das Belohnungsprogramm nur kontaktiert, nachdem der Patch veröffentlicht wurde. Es hat nie mit dem Belohnungsteam gesprochen.
„…Dann veröffentlichten sie einen Thread, der impliziert, dass das Problem ungelöst ist. Das ist es nicht. Das ist keine Sicherheitsforschung. Das ist Angstproduktion für Aufmerksamkeit“, bemerkte Charles Guillemet, CTO von Ledger.
Folgen Sie uns auf X, um die neuesten Nachrichten in Echtzeit zu erhalten
TestMachine lobte die Geschwindigkeit der Lösung und lehnte die Belohnung ab. Ledger zahlt Belohnungen in Bitcoin, in einem Betrag, den es von Fall zu Fall festlegt.
KI fand den Fehler zweimal, aber Menschen kämpften trotzdem.
Beide Seiten nutzten maschinelles Lernen, um denselben Defekt zu erreichen. Das ist der Teil, den es wert ist, beobachtet zu werden.
Ledger hat dieses Argument schon früher vorgebracht. Seine Führungskräfte haben monatelang gesagt, dass KI-Angreifer Wallets mehr bedrohen als schwache Hardware.
Guillemet zog seine Grenze bei der Disziplin.
„KI-gesteuerte Forschung macht das Ökosystem nur sicherer, wenn die Menschen, die sie durchführen, weiterhin grundlegende Sicherheitsprinzipien befolgen. Verantwortungsbewusst offenlegen. Überprüfen, bevor Sie veröffentlichen. Verwechseln Sie Lärm nicht mit einem Ergebnis.“
Der Kampf selbst ist vertraut. Sicherheitsfirmen haben lautstark reagiert, nachdem sie ein Trezor-Gerät gehackt hatten, und CertiK-Forscher kämpften 2024 mit Kraken über Offenlegungsbedingungen.
So ist auch der Fehler. Im Januar 2021 gab Donjon bekannt, dass dieselbe Ethereum-App keine Transaktionsdaten für nicht unterstützte Vermögenswerte anzeigte. Dieselbe App, dieselbe Lektion. Was Sie sahen, war nicht das, was Sie unterschrieben haben.
KI entdeckt diese Fehler jetzt in Stunden. Anbieter und Forscher koordinieren sich weiterhin mit menschlicher Geschwindigkeit. Diese Lücke ist der Ort, an dem dieses Argument lebt.
Für die Besitzer ist die Lösung langweilig. Öffnen Sie Ledger Live, aktualisieren Sie die Ethereum-App und überprüfen Sie, ob sie 1.22.2 anzeigt.
Quelle: BeInCrypto
