L’équipe de sécurité interne d’OneKey a déclaré avoir réussi à reproduire, dans un environnement de test, un exploit visant une version obsolète de l’application Ethereum hors ligne de Ledger. D’après Cointelegraph, le fondateur et PDG d’OneKey, Yishi Wang, a indiqué que l’équipe avait mené une « attaque par remplacement de transaction » contre l’application Ledger Ethereum 1.22.1 en utilisant une vulnérabilité auparavant corrigée qui permettait à un attaquant d’écraser la transaction en attente de signature pendant que l’utilisateur examinait encore la transaction légitime. Ledger a précisé que l’exploit nécessitait de contrôler les communications entre l’appareil et son hôte, notamment via un logiciel malveillant, un logiciel de portefeuille compromis ou une page web hostile. L’entreprise a ajouté des protections au niveau de l’application avec la version Ethereum 1.22.2 publiée le 13 août, avant de corriger le problème sous-jacent dans Secure SDK 26.6.1 le 21 août. Ledger a également indiqué, dans un message X publié jeudi, qu’aucun utilisateur de Ledger n’avait été piraté et que le problème décrit correspondait à une reproduction en laboratoire d’une vulnérabilité présente dans une version obsolète de l’application Ethereum.

Le test de sécurité est intervenu après l’exploitation Coldcard en juillet, lorsque des attaquants ont utilisé un bogue de micrologiciel introduit en mars 2021 qui affaiblissait l’aléa de génération des seeds sur certains portefeuilles Coldcard et a laissé les clés privées qui en résultaient vulnérables à des attaques par force brute. Ledger avait auparavant déclaré que ses appareils n’étaient pas concernés par la vulnérabilité Coldcard, car les phrases de récupération sont générées à partir d’une source certifiée d’aléa intégrée à la puce de sécurité de l’appareil. Ledger a indiqué que la vulnérabilité reproduite par OneKey n’est pas liée à la génération des seeds et qu’elle affecte plutôt la façon dont les transactions sont traitées pendant le processus de signature.