Una firma de seguridad de inteligencia artificial (IA) hizo público un error en la aplicación de Ethereum de Ledger. Ledger dice que ya había corregido la falla en silencio, dos semanas antes.
El director de tecnología Charles Guillemet calificó la divulgación de alarmista. El parche se envió el 12 de agosto con una nota de una línea y sin boletín de seguridad.
Lo que realmente hizo el error de la aplicación de Ethereum de Ledger
Ledger vende una promesa central. La pantalla te muestra lo que estás firmando. Esa promesa tiene un nombre. Ledger la llama firma clara, y convierte el código de transacción en palabras simples en la pantalla del dispositivo.
TestMachine dice que encontró una forma de eludir eso. La firma construye un agente de IA llamado Azimuth que busca exploits en contratos inteligentes. En su propio benchmark EVMBench, Azimuth captura el 86.3% de los errores conocidos con aproximadamente un 2.7% de falsos positivos.
Aquí está la falla en términos simples. Un sitio web malicioso podría enviar al dispositivo un segundo comando mientras aún estabas leyendo el primero.
El canal entre el navegador y el dispositivo se llama Unidad de Datos de Protocolo de Aplicación, o APDU. Siguió escuchando durante la revisión. Así que aceptó el intercambio.
Leerías una pequeña transferencia en la pantalla. Luego tocarías aprobar. Y en realidad firmarías una aprobación de token ilimitada a un extraño.
Esa última parte es por qué esto importa. Chainalysis ha rastreado aproximadamente $1 mil millones en criptomonedas robadas a través de phishing de aprobación desde mayo de 2021. Esas víctimas firmaron las aprobaciones ellas mismas.
TestMachine dice que confirmó el error en un Ledger Flex. Ledger ha vendido más de 7 millones de dispositivos en 180 países.
El equipo Donjon de Ledger dice que llegó primero.
Guillemet cambia la línea de tiempo. Donjon es el equipo de hacking interno de Ledger. Él dice que detectó el error con sus propias herramientas de IA y envió la solución primero.
El registro de cambios público respalda la fecha. La versión 1.22.2 llegó el 12 de agosto. Su nota de seguridad completa dice “Problemas de seguridad.”
Donjon ha publicado 22 boletines de seguridad numerados. Ninguno de ellos cubre este error. El más reciente, fechado el 4 de junio, trata sobre un problema de recuperación de clave de Monero.
Ese silencio es el vacío en el que entró TestMachine. Ledger cerró el agujero, pero nunca informó a los propietarios qué había cerrado.
La queja más aguda de Guillemet es sobre modales. Él dice que TestMachine contactó al programa de recompensas solo después de que se envió el parche. Nunca habló con el equipo de recompensas.
“…Luego publicaron un hilo implicando que el problema está sin resolver. No lo está. Eso no es investigación de seguridad. Eso es fabricar miedo para llamar la atención,” comentó Charles Guillemet, CTO de Ledger.
Síguenos en X para obtener las últimas noticias a medida que suceden
TestMachine elogió la rapidez de la solución y rechazó la recompensa. Ledger paga recompensas en Bitcoin, en una cantidad que establece caso por caso.
La IA encontró el error dos veces, pero los humanos aún lucharon.
Ambos lados utilizaron aprendizaje automático para llegar al mismo defecto. Esa es la parte que vale la pena observar.
Ledger ha hecho este argumento antes. Sus ejecutivos han dicho durante meses que los atacantes de IA amenazan las billeteras más que el hardware débil.
Guillemet trazó su línea en la disciplina.
“La investigación a la velocidad de la IA solo hace que el ecosistema sea más seguro si las personas que la realizan aún siguen principios básicos de seguridad. Divulgar de manera responsable. Verificar antes de publicar. No confundir ruido con un hallazgo.”
La pelea en sí es familiar. Las empresas de seguridad han hecho ruido después de hackear un dispositivo Trezor, y los investigadores de CertiK lucharon contra Kraken por los términos de divulgación en 2024.
También lo es el defecto. En enero de 2021, Donjon divulgó que esta misma aplicación de Ethereum no mostraba datos de transacciones para activos no soportados. Misma aplicación, misma lección. Lo que viste no fue lo que firmaste.
La IA ahora descubre estos errores en horas. Los proveedores e investigadores aún coordinan a la velocidad humana. Esa brecha es donde vive este argumento.
Para los propietarios, la solución es aburrida. Abre Ledger Live, actualiza la aplicación de Ethereum y verifica que lea 1.22.2.
Fuente: BeInCrypto
