Ledger kündigt Pläne zur Behebung von Problemen im Zusammenhang mit aktuellen Sicherheitslücken an: Details

Ledger, ein Hersteller von Hardware-Wallets, hat Pläne angekündigt, Blind Signing für dezentrale Anwendungen (DApps) der Ethereum Virtual Machine (EVM) bis Juni 2024 zu deaktivieren.

Die Entscheidung erfolgt als Reaktion auf einen Exploit, bei dem ein Wallet Drainer zu einer Bibliothek hinzugefügt wurde, die von zahlreichen DApps zur Verbindung mit Ledger-Geräten verwendet wird.

Ledger kündigt Plan zur Entschädigung von Opfern an

In einem Tweet enthüllte Ledger, dass bei dem jüngsten Exploit etwa 600.000 US-Dollar an Krypto-Assets gestohlen wurden. Als Reaktion auf die Sicherheitsverletzung kündigte das Unternehmen seine Zusage an, die betroffenen Opfer zu entschädigen.

Es wurde erklärt, dass es die Praxis des blinden Signierens mit Ledger-Geräten bis Juni 2024 einstellen werde.

Wir konzentrieren uns zu 100 % darauf, den Sicherheitsvorfall der letzten Woche weiterzuverfolgen, um sicherzustellen, dass Vorfälle wie dieser in Zukunft verhindert werden und das Ökosystem sicher bleibt.

Uns sind etwa 600.000 US-Dollar an Vermögenswerten bekannt, die von Benutzern gestohlen wurden, die sich blind auf EVM-DApps angemeldet haben.

Hauptbuch…

– Ledger (@Ledger), 20. Dezember 2023

Blindes Signieren beinhaltet die Anzeige von Rohdaten zur intelligenten Vertragsunterzeichnung, die von Computern, aber nicht von Menschen gelesen werden können. Die Entscheidung des Unternehmens, Blind Signing auslaufen zu lassen, ist ein Schritt zur Etablierung eines neuen Standards, um den Benutzerschutz zu verbessern und klares Signieren in dezentralen Anwendungen zu fördern.

Ledger forderte DApp-Entwickler auf, klare Signaturen zu unterstützen, und betonte sein Engagement, solche Vorfälle in Zukunft zu verhindern und so die Sicherheit des Ökosystems zu gewährleisten.

Laut Ledger wurden die gestohlenen Vermögenswerte von Benutzern gestohlen, die blind auf EVM-DApps signierten.

Ledger Exploit Drains Fund

Bei dem jüngsten Exploit letzte Woche identifizierten Entwickler auf Twitter eine bösartige Version des Ledger Connect Kit, einer Bibliothek, die die Verbindung zwischen Ledger-Geräten und DApps erleichtert.

Laut der Web3-Sicherheitsfirma BlockAid hat der Angreifer eine Payload zum Entleeren der Geldbörse in das NPM-Paket des Ledger Connect Kits eingeschleust, wodurch er Gelder von Benutzern abziehen konnte, die sich bei DApps wie Sushi.com und Hey.xyz angemeldet hatten.

MetaMask, ein Software-Wallet-Entwickler, warnte Benutzer, „keine DApps mehr zu verwenden“, nachdem von dem Angriff bekannt wurde. In einer anschließenden Erklärung bestätigte Ledger, dass der Angriff darauf zurückzuführen sei, dass ein ehemaliger Mitarbeiter Opfer eines Phishing-Angriffs geworden sei.

Der Angreifer hat auf das NPMJS-Konto des ehemaligen Mitarbeiters zugegriffen und ihm so ermöglicht, eine bösartige Version des Ledger Connect Kit zu verbreiten. Dieses kompromittierte Connect Kit leitete Benutzergelder von jedem Wallet, das eine Verbindung zu einer DApp herstellte, an das Wallet des Hackers um.

Ledger reagierte schnell und stellte innerhalb von 40 Minuten nach der Alarmierung durch seine Sicherheitsteams einen Fix bereit. Mittlerweile ist eine neue Version des Connect Kit (1.1.8) erschienen. Der Exploit hat die Ledger-Geräte und die Ledger Live-App nicht beeinträchtigt.

Es ist erwähnenswert, dass Ledger wegen seiner Sicherheit kritisiert wurde. Im Jahr 2020 wurde die E-Mail-Datenbank eines Ledger-Kunden gehackt, wodurch über eine Million Benutzer-E-Mails offengelegt wurden. Anfang des Jahres wurde auch der freiwillige ID-basierte Wiederherstellungsdienst von Ledger von Benutzern kritisiert, einige nannten ihn eine „Hintertür“.

Der Beitrag Ledger kündigt Pläne zur Behebung von Problemen im Zusammenhang mit aktuellen Sicherheitslücken an: Details erschienen zuerst auf CryptoPotato.