Производитель аппаратных криптокошельков Ledger устранил серьёзную уязвимость в приложении для работы с Ethereum. Об этом сообщает Forklog со ссылкой на команду безопасности OneKey Anzen, которая 27 августа опубликовала результаты тестирования.

Суть уязвимости и механизм атаки

Специалисты OneKey Anzen смогли воспроизвести в лабораторных условиях атаку подмены транзакции в Ethereum-приложении кошелька Ledger версии 1.22.1. Проблема заключалась в состоянии гонки (race condition) между логикой отображения транзакции на экране устройства и базовым буфером обработки данных.

На практике это означало следующее: пользователь видел на экране Ledger одну транзакцию с определёнными параметрами (адрес получателя, сумма), но устройство подписывало совершенно другую операцию. Злоумышленник мог воспользоваться этим для кражи средств, если получал контроль над промежуточным ПО между кошельком и компьютером пользователя.

Технически баг позволял отправить новую APDU-команду (Application Protocol Data Unit — стандартный формат команд для смарт-карт и аппаратных кошельков) в тот момент, когда владелец устройства ещё подтверждал предыдущую транзакцию на экране. Это приводило к рассинхронизации отображаемой и фактически подписываемой операции.

Реакция Ledger и исправление

Команда безопасности Ledger Donjon подтвердила наличие уязвимости, но заявила, что ни один реальный пользователь не пострадал. Проблему выявили в ходе внутренних проверок и устранили в патче версии 1.22.2, выпущенном 13 августа 2026 года — за две недели до публичного раскрытия информации командой OneKey.

В официальном заявлении Ledger Donjon подчеркнули: речь идёт об устаревшей версии приложения, а описанный сценарий атаки оставался лабораторным. Компания опубликовала бюллетень безопасности с рекомендацией обновить Ethereum-приложение и проверить актуальность аппаратной прошивки устройства.

Контекст инцидента

Это не первый случай обнаружения уязвимостей в популярных аппаратных кошельках в 2026 году. 17 августа конкурент Ledger — производитель BitBox — выпустил обновление Dixence, устранившее две серьёзные ошибки в прошивке. Примечательно, что в BitBox использовали ИИ-модели для внутреннего аудита безопасности.

Ранее команда Coldcard также сталкивалась с критикой за уязвимости, которые теоретически могли поставить под угрозу средства пользователей. В индустрии растёт внимание к безопасности аппаратных решений на фоне увеличения числа атак на криптоактивы.

Что это значит для российских инвесторов

Владельцам Ledger в России необходимо немедленно обновить Ethereum-приложение до версии 1.22.2 или новее через Ledger Live. Проверьте также актуальность прошивки самого устройства в разделе настроек. Уязвимость затрагивала только работу с Ethereum и ERC-20 токенами, но не влияла на Bitcoin и другие активы.

Если вы используете Ledger для хранения ETH, USDT или других токенов сети Ethereum и не обновляли приложения с начала августа — сделайте это в приоритетном порядке. Особенно важно обновление для тех, кто подключает кошелёк к сторонним DeFi-платформам или DEX-биржам через WalletConnect, где риск взаимодействия с вредоносным кодом выше. Альтернативные варианты для российских пользователей — Bybit, MEXC или локальные обменники из раздела обменники криптовалют, но аппаратное хранение остаётся наиболее безопасным при условии актуального ПО.