Ledger ontkent hack: Ethereum-app kwetsbaarheid al gepatcht voordat onderzoek verscheen

Ledger stelt dat het niet is gehackt, nadat rivaal OneKey een beveiligingsprobleem in de Ethereum-app aantoonde. Het bedrijf zegt de kwetsbaarheid al maanden eerder te hebben verholpen en geen bewijs van echte aanvallen te hebben gevonden.

Wat was het probleem?

Onderzoeksgroep Anzen van OneKey reconstructeerde een aanval op versie 1.22.1 van Ledgers Ethereum-app. Het gaat om een zgn. race condition: een aanvaller kan een transactie vervangen terwijl de gebruiker deze nog aan het controleren is. Zodoende zou een hacker geld naar zijn eigen portemonnee kunnen sturen zonder dat dit op het apparaat zichtbaar wordt.

Toen het al was gerepareerd

Ledgers Chief Technology Officer Charles Guillemet benadrukt dat OneKey een al verouderde versie testte. Het bedrijf loste het probleem op 13 augustus op in versie 1.22.2, nog voordat OneKey zijn bevindingen openbaar maakte. Daarnaast werd op 21 augustus een diepere fix uitgebracht in de onderliggende software.

Geen gebruikers getroffen

Ledger zegt geen enkel bewijs te hebben dat hackers de kwetsbaarheid in praktijk hebben misbruikt. "Geen gebruiker werd gehackt," stelt Guillemet. "Dit is een laboratoriumoefening met een oude versie, geen echte aanval."

Het bedrijf adviseert gebruikers om de Ethereum-app bij te werken naar versie 1.22.3 of hoger en controleert dit via de Ledger Wallet-applicatie.