Błąd w aplikacji Ledger Ethereum. CTO: to sianie strachu

Firma TestMachine ujawniła błąd w aplikacji Ledger Ethereum, który umożliwiał wysłanie drugiej komendy APDU do urządzenia w trakcie, gdy użytkownik przeglądał transakcję. W efekcie użytkownik mógł widzieć na ekranie niewielki przelew, a urządzenie jednocześnie podpisało inną operację, na przykład udzielenie nieograniczonych uprawnień do tokenów.

Technicznie problem polegał na tym, że kanał komunikacji między przeglądarką a urządzeniem (APDU) pozostawał aktywny podczas wyświetlania informacji o transakcji. Złośliwy serwer mógł w tym oknie wysłać kolejną komendę, która została podpisana bez pełnej zgody użytkownika. TestMachine potwierdziła wykonalność scenariusza na modelu Flex; ten sam kod APDU/UI znajduje się też w modelach Nano X, Nano S Plus, Stax i Apex.

TestMachine wykryła błąd przy użyciu agenta AI o nazwie Azimuth podczas autonomicznego skanu aplikacji. Firma podała, że na własnym benchmarku EVMBench agent wykrywa około 86,3% znanych błędów przy współczynniku fałszywych alarmów około 2,7%. Odkrycie zostało zweryfikowane na Flex i zgłoszone zespołowi Ledger; TestMachine zrezygnowała z nagrody bounty.

Ledger udostępnił wersję aplikacji 1.22.2 12 sierpnia z jedyną adnotacją „Security issues” i informuje, że poprawka została wdrożona wcześniej. Wewnętrzny zespół bezpieczeństwa Ledger, Donjon, także korzystał z narzędzi automatycznych i podaje, że błęd został znaleziony i załatany wewnętrznie. Spór dotyczy głównie kolejności wykryć i sposobu komunikacji o luce.

Charles Guillemet, dyrektor technologiczny Ledger, określił ujawnienie jako „sianie strachu” i skrytykował publikację sugerującą, że problem pozostał nierozwiązany. Guillemet wskazał, że poprawka była już wdrożona przed publicznym wpisem opisującym błąd.

Organizacje monitorujące przestępstwa kryptowalutowe szacują, że od maja 2021 około 1 mld USD zostało utracone w atakach phishingowych wykorzystujących mechanizm udzielania uprawnień do tokenów, przy których ofiary same podpisywały zgody. Podobne problemy z wyświetlaniem danych transakcji w aplikacji Ethereum były zgłaszane już wcześniej; w styczniu 2021 Donjon opisał przypadki, gdy aplikacja nie pokazywała danych dla nieobsługiwanych aktywów.

Ledger przypomina użytkownikom, by otworzyli aplikację Ledger Live, zaktualizowali aplikację Ethereum i sprawdzili, czy zainstalowana jest wersja 1.22.2. Firma sprzedała ponad 7 milionów urządzeń w około 180 krajach.

Spór między TestMachine a Ledgerem ilustruje, że narzędzia oparte na sztucznej inteligencji są coraz częściej używane do wykrywania błędów, a strony różnią się w podejściu do ujawniania i komunikacji o podatnościach.