Ledger ระบุว่าข้อบกพร่องในการลงนามของ Ethereum ได้รับการแก้ไขแล้ว

นายชาร์ลส์ กิลเลเมต์ ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของ Ledger กล่าวเมื่อวันที่ 23 สิงหาคมว่า Ledger ได้แก้ไขช่องโหว่ที่ส่งผลกระทบต่อกระบวนการลงนามที่ชัดเจนบางอย่างในแอปพลิเคชัน Ethereum ของตน ก่อนที่บริษัทรักษาความปลอดภัยอื่นจะเปิดเผยปัญหาดังกล่าวต่อสาธารณะ

กิเยเมต์กล่าวว่า Ledger Donjon ซึ่งเป็นทีมวิจัยด้านความปลอดภัยภายในของบริษัท ค้นพบข้อบกพร่องดังกล่าวโดยใช้ระบบวิจัยช่องโหว่ด้วยปัญญาประดิษฐ์ Ledger ได้ทำการแก้ไขข้อบกพร่องดังกล่าวประมาณสองสัปดาห์ก่อนที่เขาจะออกแถลงการณ์ ตามที่เขาได้โพสต์ไว้

กิเยเมต์กล่าวว่า ผู้ใช้ที่มีเฟิร์มแวร์และแอปพลิเคชัน Ledger รุ่นปัจจุบันได้รับการปกป้องแล้ว จนถึงวันที่ 24 สิงหาคม ยังไม่มีรายงานที่ได้รับการตรวจสอบอย่างอิสระเกี่ยวกับการขโมยเงินผ่านช่องโหว่นี้

บั๊กในแอป Ledger Ethereum ส่งผลกระทบต่อการลงนามที่ชัดเจน

การลงนามแบบชัดเจน (Clear signing) มีจุดประสงค์เพื่อแสดงรายละเอียดธุรกรรมในรูปแบบที่อ่านได้บนอุปกรณ์ Ledger ก่อนที่ผู้ใช้จะอนุมัติ ช่วยให้ผู้ใช้สามารถตรวจสอบจำนวนเงิน ที่อยู่ และการดำเนินการของสัญญาอัจฉริยะ แทนที่จะอนุมัติแฮชธุรกรรมที่ไม่สามารถอ่านได้

TestMachine บริษัทรักษาความปลอดภัยที่อยู่เบื้องหลังเครื่องมือวิจัยปัญญาประดิษฐ์ Azimuth กล่าวว่าช่องโหว่นี้อาจบ่อนทำลายกระบวนการตรวจสอบนี้ได้ จากข้อมูลที่บริษัทเผยแพร่ต่อสาธารณะ ระบุว่าแอปพลิเคชันที่เป็นอันตรายอาจส่งคำสั่งที่ขัดแย้งเข้ามาในขณะที่ผู้ใช้กำลังตรวจสอบธุรกรรมต้นฉบับอยู่

ปัญหาที่รายงานเกี่ยวข้องกับการสื่อสาร Application Protocol Data Unit (APD) ระหว่างแอปพลิเคชันที่เชื่อมต่อและแอป Ethereum ของ Ledger TestMachine อ้างว่าช่องโหว่นี้อาจทำให้ผู้โจมตีสามารถแทนที่ธุรกรรมที่คาดหวังด้วยการกระทำอื่นก่อนที่ผู้ใช้จะอนุมัติเสร็จสมบูรณ์

ในสถานการณ์ดังกล่าว อุปกรณ์สามารถแสดงธุรกรรมหนึ่งรายการในขณะที่เตรียมอีกรายการหนึ่งสำหรับการลงนาม ผลลัพธ์ที่เป็นไปได้ประการหนึ่งที่นักวิจัยได้อธิบายไว้คือ การแทนที่ธุรกรรมที่มีข้อจำกัดด้วยการอนุมัติโทเค็นในวงกว้างขึ้น

Ledger ยอมรับว่ามีข้อผิดพลาดอยู่ใน “ขั้นตอนการลงนามที่ชัดเจนบางอย่าง” อย่างไรก็ตาม Guillemet ไม่ได้เผยแพร่คำอธิบายทางเทคนิคโดยละเอียด รายชื่อเวอร์ชันที่ได้รับผลกระทบ หรือคำแนะนำด้านความปลอดภัยที่อธิบายถึงข้อกำหนดการโจมตีทั้งหมด

ไทม์ไลน์การเปิดเผยข้อพิพาทเกี่ยวกับบัญชีแยกประเภทและเครื่องทดสอบ

บริษัท TestMachine กล่าวว่าระบบ Azimuth ของตนตรวจพบปัญหาดังกล่าวในระหว่างการสแกนอัตโนมัติและตรวจสอบยืนยันบนอุปกรณ์ Ledger Flex นอกจากนี้ บริษัทฯ ยังอ้างว่าโค้ดที่ใช้ร่วมกันทำให้รุ่นอื่นๆ อาจได้รับผลกระทบด้วยเช่นกัน รวมถึงอุปกรณ์ Nano X, Nano S Plus, Stax และ Apex

คำแถลงเหล่านั้นยังคงเป็นคำอธิบายเกี่ยวกับการวิจัยของบริษัท ณ เวลาที่เผยแพร่บทความนี้ ยังไม่มีการพิสูจน์แนวคิดอย่างครบถ้วนต่อสาธารณะ ซึ่งแสดงให้เห็นถึงการขโมยเงินในอุปกรณ์ทุกชิ้นที่ระบุไว้

กิเยเมต์โต้แย้งวิธีการนำเสนอการเปิดเผยข้อมูล โดยกล่าวว่า TestMachine ติดต่อโครงการให้รางวัลของ Ledger หลังจากที่บริษัทได้ส่งตัวแก้ไขไปแล้ว นอกจากนี้เขายังกล่าวหาว่านักวิจัยไม่ได้หารือเกี่ยวกับปัญหานี้กับทีมให้รางวัลของ Ledger ก่อนที่จะเผยแพร่ข้อกล่าวอ้างที่บ่งชี้ว่าปัญหายังไม่ได้รับการแก้ไข

“ปัญหาได้รับการแก้ไขและใช้งานไปเมื่อสองสัปดาห์ก่อนแล้ว” กิลเลเมต์กล่าว เขาอธิบายว่าข้อกล่าวอ้างที่ว่าปัญหายังคงเกิดขึ้นอยู่นั้นเป็นการ “สร้างความหวาดกลัวเพื่อเรียกร้องความสนใจ” ในทางตรงกันข้าม TestMachine กล่าวว่าพวกเขาได้แบ่งปันและตรวจสอบข้อค้นพบกับ Ledger แล้ว แต่ปฏิเสธที่จะรับรางวัล

คลังแอปพลิเคชัน Ethereum สาธารณะของ Ledger แสดงให้เห็นถึงการเปลี่ยนแปลงด้านความปลอดภัยหลายประการในช่วงเดือนสิงหาคม ซึ่งรวมถึงการแก้ไขที่เกี่ยวข้องกับสถานะการลงนาม การจัดการบริบทแอปพลิเคชัน และการสรุปข้อความ บันทึกที่มีอยู่ไม่ได้ระบุอย่างชัดเจนว่าการเปลี่ยนแปลงใดตรงกับปัญหาการลงนามที่ชัดเจนที่เปิดเผย หรือยืนยันวันที่ปรับใช้ที่แน่นอนในร้านค้าแอปพลิเคชันของอุปกรณ์ Ledger

ผู้ใช้ควรทำการอัปเดตเฟิร์มแวร์และแอป Ethereum

ผู้ใช้งาน Ledger ควรทำการอัปเดตซอฟต์แวร์ Ledger Wallet เฟิร์มแวร์ของอุปกรณ์ และแอปพลิเคชัน Ethereum ที่ติดตั้งไว้ การอัปเดตเฉพาะส่วนติดต่อผู้ใช้บนเดสก์ท็อปหรือมือถืออาจไม่สามารถทดแทนแอปพลิเคชันที่ล้าสมัยซึ่งทำงานอยู่บนฮาร์ดแวร์ได้

ผู้ใช้ควรตรวจสอบรายละเอียดการทำธุรกรรมโดยตรงบนหน้าจออุปกรณ์ที่ปลอดภัยด้วย คู่มือของ Ledger เตือนว่าการลงนามแบบไม่เปิดเผยข้อมูลยังคงมีความเสี่ยง เนื่องจากอุปกรณ์ไม่สามารถแสดงการกระทำทั้งหมดของสัญญาอัจฉริยะในรูปแบบที่อ่านได้

Ethereum ได้นำเสนอการสรุปธุรกรรมที่มนุษย์อ่านได้ผ่านมาตรฐาน ERC-7730 โดย Ledger มีส่วนช่วยในการพัฒนาระบบนี้ก่อนที่การดูแลจัดการจะถูกโอนไปยัง Ethereum Foundation

เหตุการณ์ล่าสุดนี้แตกต่างจากข้อบกพร่องในการลงนามของ Zilliqa ที่เคยรายงานไปก่อนหน้านี้ ซึ่งทำให้คีย์ส่วนตัวรั่วไหล Zilliqa กล่าวว่าช่องโหว่ดังกล่าวส่งผลกระทบต่อแอปพลิเคชัน Ledger ดั้งเดิมของตนเอง และไม่สามารถแก้ไขได้สำหรับคีย์ที่รั่วไหลไปแล้วผ่านลายเซ็นที่บันทึกไว้

Ledger ยังไม่ได้ประกาศกระบวนการชดเชย การระงับธุรกรรมฉุกเฉิน หรือการย้ายสินทรัพย์ใดๆ ที่เกี่ยวข้องกับปัญหาแอป Ethereum การยืนยันเพิ่มเติมจำเป็นต้องมีคำแนะนำทางเทคนิคที่ระบุเวอร์ชันที่ได้รับผลกระทบ เวอร์ชันที่แก้ไขแล้ว และเงื่อนไขที่แม่นยำที่จำเป็นในการใช้ประโยชน์จากช่องโหว่