Hardware wallet-maker Ledger stelt dat de recente claim van een ‘hack’ door OneKey en Anzen feitelijk een reproductie is van een reeds gepatchte kwetsbaarheid in zijn Ethereum-app, die al op 13 augustus was verholpen.
De hardware wallet-maker Ledger heeft recentelijk de claim van een ‘hack’ door de bedrijven OneKey en Anzen krachtig tegengesproken. Volgens Ledger reproduceerden OneKey en Anzen een kwetsbaarheid in een oudere versie van de Ethereum-app die al op dertien augustus was opgelost. Er zou dus geen sprake zijn van een actieve bedreiging voor gebruikers.
OneKey, een andere producent van crypto wallets, en het cybersecuritybedrijf Anzen, meldden eerder deze week dat ze versie 1.22.1 van Ledgers Ethereum-app hadden ‘gehackt’. Ze toonden aan hoe een verouderde Ethereum-app een transactie kon ondertekenen die afweek van wat op het Ledger-apparaat werd getoond. Yishi Wang, oprichter van OneKey, waarschuwde gebruikers van oudere versies om hun app te updaten, en merkte op dat Ledger het probleem al had verholpen in versie 1.22.3.
Geen ‘hack’, wel een labo-oefening
Charles Guillemet, de Chief Technology Officer van Ledger, reageerde snel en duidelijk via sociale media. Hij stelde dat het ‘reproduceren van een reeds gepatchte bug geen ‘Ledger hacken’ is’. Guillemet benadrukte dat geen enkele Ledger-gebruiker is gehackt en dat er geen sprake was van uitbuiting van de kwetsbaarheid in de praktijk. Volgens hem was het een ‘labo-oefening, geen nieuwe bevinding’.
Een woordvoerder van Ledger bevestigde dit standpunt aan Protos, door te stellen dat OneKey ‘de reeds openbaar gemaakte bevindingen nam en probeerde deze in een labo-omgeving te repliceren’. Het Donjon-team van Ledger, dat zich bezighoudt met beveiliging, voegde eraan toe dat de fix voor de kwetsbaarheid al op dertien augustus was doorgevoerd in versie 1.22.2 van de Ethereum-app, wat de claims van OneKey verder tegenspreekt. Wij zien hier vooral een poging van OneKey om zich in de kijker te spelen met een halfslachtig verhaal.
Wat betekent dit voor de gebruiker?
Voor gebruikers van Ledger-apparaten is het advies duidelijk: zorg ervoor dat je software altijd up-to-date is. Hoewel Ledger stelt dat er geen gebruikers zijn getroffen door deze specifieke kwetsbaarheid, toont het incident wel aan hoe belangrijk het is om de nieuwste versies van apps en firmware te installeren. Software-updates bevatten vaak belangrijke beveiligingspatches die je beschermen tegen bekende kwetsbaarheden. Het is een kleine moeite die veel potentiële kopzorgen kan besparen.
Firmware: Update regelmatig de firmware van je Ledger-apparaat.
Apps: Zorg ervoor dat alle apps op je Ledger, zoals de Ethereum-app, de meest recente versie hebben.
Broncontrole: Wees kritisch over claims van ‘hacks’ en controleer altijd de officiële communicatie van de betreffende bedrijven.
Wij blijven de ontwikkelingen rondom de beveiliging van hardware wallets nauwlettend volgen. De discussie tussen Ledger en OneKey benadrukt nogmaals de constante strijd tussen beveiligingsexperts en potentiële kwetsbaarheden in de snel evoluerende cryptowereld.
