一家人工智能（AI）安全公司公开了一个Ledger以太坊应用程序的漏洞。Ledger表示，它在两周前已经悄悄修复了这个缺陷。
首席技术官查尔斯·吉耶梅称这一披露是制造恐慌。补丁于8月12日发布，只有一行说明，没有安全公告。
Ledger以太坊应用程序漏洞实际上做了什么
Ledger承诺提供一个核心承诺。屏幕上显示您正在签署的内容。这个承诺有一个名字。Ledger称之为清晰签名，它将原始交易代码转换为设备屏幕上的普通文字。
TestMachine表示它找到了绕过的方法。该公司构建了一个名为Azimuth的AI代理，专门寻找智能合约中的漏洞。在其自己的EVMBench基准测试中，Azimuth捕获了86.3%的已知漏洞，假阳性率约为2.7%。
这里是这个缺陷的简单描述。一个恶意网站可以在您仍在阅读第一个命令时向设备发送第二个命令。
浏览器和设备之间的通道称为应用协议数据单元，或APDU。在审核期间它一直在监听。因此它接受了交换。
您会在屏幕上看到一个小额转账。然后您会点击批准。实际上，您会向一个陌生人签署无限的代币批准。
最后这一点就是为什么这很重要。Chainalysis自2021年5月以来追踪到大约10亿美元的加密货币通过批准钓鱼被盗。这些受害者自己签署了批准。
TestMachine表示它在Ledger Flex上确认了这个漏洞。Ledger在180个国家销售了超过700万个设备。
Ledger的Donjon团队表示他们是第一个发现这个问题的。
Guillemet翻转了时间线。Donjon是Ledger的内部黑客团队。他表示他们使用自己的AI工具捕捉到了这个漏洞，并首先发布了修复。
公共变更日志支持这个日期。版本1.22.2于8月12日发布。它的整个安全说明写着“安全问题”。
Donjon发布了22个编号的安全公告。没有一个涵盖这个漏洞。最新的公告，日期为6月4日，涉及一个Monero密钥恢复问题。
这种沉默是TestMachine进入的空白。Ledger关闭了这个漏洞，但从未告知用户它关闭了什么。
Guillemet更尖锐的投诉是关于礼仪。他表示TestMachine在补丁发布后才联系了悬赏计划。它从未与悬赏团队沟通过。
“…然后他们发布了一条帖子暗示问题未解决。实际上并非如此。这不是安全研究。这是在制造恐惧以引起注意，”Ledger首席技术官Charles Guillemet评论道。
在X上关注我们，获取最新新闻动态
TestMachine赞扬了修复的速度，并拒绝了奖励。Ledger根据具体情况以比特币支付悬赏。
AI发现了两次漏洞，但人类仍然在斗争。
双方都使用机器学习来发现相同的缺陷。这是值得关注的部分。
Ledger之前就提出过这个论点。其高管们已经说了几个月，AI攻击者对钱包的威胁大于弱硬件。
吉耶梅在纪律上划定了界限。
“AI速度的研究只有在进行研究的人仍然遵循基本安全原则时，才能使生态系统更安全。负责任地披露。在发布之前进行验证。不要将噪音与发现混淆。”
这场斗争本身是熟悉的。安全公司在黑客攻击Trezor设备后发出了强烈反响，而CertiK研究人员在2024年与Kraken就披露条款进行了斗争。
缺陷也是如此。早在2021年1月，Donjon就披露了这个相同的以太坊应用未能显示不支持资产的交易数据。同一个应用，同样的教训。你看到的并不是你签署的。
AI现在在几个小时内就能发现这些漏洞。供应商和研究人员仍然以人类的速度进行协调。这个差距就是这个论点存在的地方。
对于所有者来说，修复过程很乏味。打开Ledger Live，更新以太坊应用，并检查其是否显示为1.22.2。
来源：BeInCrypto
