Pendiri OneKey, Yishi Wang, mengumumkan pada 27 Agustus bahwa tim keamanan Anzen miliknya mereproduksi serangan penggantian transaksi terhadap perangkat Ledger di laboratorium. Target utamanya adalah aplikasi Ethereum Ledger versi 1.22.1.
Masalahnya berpusat pada penumpukan instruksi. Aplikasi Ledger yang terpengaruh bisa menerima perintah APDU kedua ketika pengguna masih meninjau operasi pertama di layar. Akibatnya, parameter penandatanganan di dalam memori bersama langsung tertimpa tanpa memicu pembaruan pada tampilan visual. Pengguna mengira mereka menyetujui transaksi A, padahal tanda tangan digital yang keluar dari perangkat memberi izin untuk transaksi B. Ledger mengklasifikasikan celah keamanan ini sebagai kondisi balapan “time-of-check to time-of-use”.
Perbaikan yang Mendahului Pengumuman
CTO Ledger Charles Guillemet menanggapi klaim ini dengan lugas, menegaskan bahwa mereproduksi bug yang sudah ditambal bukan berarti meretas perangkat Ledger.
Faktanya, jalur substitusi transaksi itu sudah diputus dua minggu sebelum pengumuman OneKey tayang. Ledger meluncurkan pembaruan aplikasi Ethereum versi 1.22.2 pada 13 Agustus, yang memuat baris kode pertama dengan pengecekan status awal guna menghentikan serangan tumpang tindih. Pertahanan ini kembali diperkuat pada 21 Agustus melalui rilis Secure SDK 26.6.1. Sistem pembaruan itu bertugas memblokir perintah yang saling bertabrakan sebelum instruksinya mencapai kode tingkat aplikasi.
Ledger kini menyarankan seluruh pengguna memperbarui aplikasi Ethereum ke versi 1.22.3 atau rilis yang lebih baru. Versi mutakhir ini memuat perlindungan SDK yang lebih luas sekaligus mengatasi satu cacat tampilan transaksi terpisah.
Elemen Aman Tidak Tertembus
Walau celah perangkat lunak yang masuk sejak Agustus 2025 memengaruhi lini SDK hingga versi 26.6.0, elemen inti pengaman perangkat tidak pernah goyah. Tidak ada seed phrase yang terungkap keluar dan tidak ada private key yang diekstrak dari dalam elemen aman. Cacat balapan waktu ini juga murni mengandalkan manipulasi perangkat yang sedang aktif dan tidak membuka peluang akses jarak jauh ke dompet keras yang tidak terhubung dengan komputer.
๐ Baca JugaSEC Gugat 38 Entitas Penasihat Fiktif - Modusnya Bersembunyi di Balik Nomor Izin Resmi Milik Orang Lain
Ledger menyatakan tidak ada indikasi peretas mengeksploitasi celah berlabel LSB 023 ini terhadap pelanggan. Sampai hari ini, belum ada laporan kerugian aset kripto yang dikaitkan dengan isu spesifik ini. Temuan di laboratorium keamanan tetap punya nilai penting, tapi perbaikan pertahanan Ledger kali ini datang lebih cepat dari risiko di dunia nyata.
Dilansir dari crypto.news.
Baca juga: Kraken Diserang 12.000 Transfer Debu Kripto - Aturan Sanksi Eropa Kini Berbalik Jadi Senjata
Disclaimer: Artikel ini bersifat informatif dan edukatif, bukan nasihat keuangan. Aset kripto sangat fluktuatif dan berisiko tinggi. Selalu lakukan riset mandiri (DYOR) dan jangan berinvestasi melebihi kemampuanmu menanggung kerugian.
