Ledger ha respinto le accuse di hack dopo che la rivale OneKey ha riprodotto in laboratorio un attacco di sostituzione della transazione contro l’app Ethereum (ETH) versione 1.22.1, corretta due settimane prima.
Punti chiave:
- Il team di sicurezza Anzen di OneKey ha ricreato in laboratorio un attacco di sostituzione della transazione contro l’app Ethereum di Ledger versione 1.22.1.
- Ledger sostiene che la vulnerabilità sia stata risolta con l’app Ethereum 1.22.2 il 13 agosto e che non ci siano prove di sfruttamento reale sugli utenti.
- L’azienda oggi invita i clienti a installare l’app Ethereum 1.22.3 o successive e a verificare sul dispositivo la versione effettivamente in uso.
Ledger respinge la definizione di “hack” avanzata da OneKey
Il fondatore e CEO di OneKey, Yishi Wang, ha scritto su X giovedì che il team di sicurezza interno Anzen è riuscito a eseguire l’attacco end‑to‑end in ambiente di laboratorio. Wang ha descritto il bug come una race condition tra la logica che gestisce la visualizzazione della transazione e il buffer che contiene i dati della transazione sul dispositivo. I suoi ingegneri hanno ricompilato autonomamente la versione vulnerabile dell’app per riprodurre l’intera catena dell’attacco.
Ledger ha descritto la stessa condizione in un bollettino pubblicato nello stesso giorno, definendola appunto una race condition. Un dispositivo con una versione affetta dell’app poteva mostrare sul display un set di dettagli di transazione, mentre in realtà generava una firma che copriva parametri completamente diversi.
Da leggere anche: Ethereum testa la resistenza chiave a 2.500$ con crescente rischio di correzione
Guillemet contesta la narrazione dell’exploit
Il chief technology officer di Ledger, Charles Guillemet, ha definito la dimostrazione di OneKey un mero esercizio di laboratorio, non un vero exploit.
Guillemet ha sostenuto che limitarsi a riprodurre un bug già corretto da settimane non equivale ad “hackerare” l’azienda o i suoi utenti. Per colpire un utente reale, un aggressore dovrebbe già controllare il collegamento tra il dispositivo e il computer ospite, tramite malware, un’app wallet compromessa o una pagina web malevola. La debolezza non ha mai esposto seed phrase o chiavi private custodite nel chip sicuro; ha inciso solo sui parametri delle transazioni firmate dal dispositivo.
Ledger ha dichiarato di non aver trovato alcuna evidenza che la falla sia stata sfruttata “in the wild” contro clienti reali, e finora nessun furto di fondi è stato collegato pubblicamente all’incidente. Il team di ricerca Donjon dell’azienda ha sottolineato come il caso confermi la necessità che gli hardware wallet supportino aggiornamenti software: un wallet che non può essere aggiornato sul campo, ha avvertito, non può essere riparato.
La timeline delle patch sull’app Ethereum di Ledger
Ledger ha ricondotto il problema a una regressione introdotta nell’agosto 2025, che ha interessato tutte le release del Secure SDK fino alla versione 26.6.0, pubblicata l’11 agosto. Le prime contromisure sono arrivate a livello di applicazione, con il rilascio dell’app Ethereum 1.22.2 il 13 agosto, circa due settimane prima della dimostrazione del wallet rivale.
Successivamente l’azienda ha rilasciato il Secure SDK 26.6.1 il 21 agosto, ha ricompilato le proprie app su quella base e ha pubblicato il bollettino il 27 agosto, invitando gli utenti a installare la versione 1.22.3 o successive.
Lo scontro arriva a poche settimane dall’ondata di attacchi che, dal 30 luglio, hanno iniziato a drenare Bitcoin (BTC) da wallet Coldcard, sfruttando una vulnerabilità nel firmware risalente al marzo 2021 che indeboliva il processo di generazione delle seed phrase. All’epoca Guillemet aveva definito quell’episodio un campanello d’allarme per l’intero settore, ricordando che il modello di sicurezza di un hardware wallet si regge – o crolla – sulla qualità della sua casualità crittografica.
Prossimo articolo: Solana può difendere quota 105$? Un voto dei validator potrebbe essere decisivo
