Ledger schließt Sicherheitslücke in Ethereum-App und weist FUD zurück

Ledger hat eine Schwachstelle in der Ethereum-App behoben, bevor ein externes Sicherheitsunternehmen den Fall öffentlich machte. Charles Guillemet, technischer Direktor von Ledger, reagiert auf Berichte, die suggerieren, dass das Problem weiterhin bestehe. Seiner Aussage nach stimmt das nicht: Der Fehler wurde bereits vor zwei Wochen vom internen Team von Ledger gefunden und behoben. Nutzer, die ihre Apps aktuell halten, sind geschützt.

Ethereum ist bei Bitvavo und OKX erhältlich.

Das Wichtigste in Kürze:

• Eine Schwachstelle in bestimmten Signing-Abläufen der Ledger-Ethereum-App wurde vor zwei Wochen vom internen Donjon-Team entdeckt und behoben.
• Ein externes Sicherheitsunternehmen meldete die Schwachstelle erst, nachdem der Fix bereits ausgerollt war, und veröffentlichte anschließend Beiträge, die den Eindruck erweckten, das Problem sei weiterhin offen.
• Ledger-CTO Guillemet ruft Nutzer dazu auf, Firmware und Apps aktuell zu halten und die FUD zu ignorieren.

Schwachstelle bereits vor zwei Wochen gepatcht

Die Schwachstelle befand sich in bestimmten Clear-Signing-Abläufen der Ledger-Ethereum-App. Das interne Forschungsteam von Ledger, Donjon, entdeckte das Problem über eine eigene, KI-gestützte Forschungsumgebung. Der Fix wurde vor zwei Wochen ausgerollt.

Guillemet erklärt, dass Nutzer, die ihre Ledger-Firmware und Apps auf dem neuesten Stand halten, automatisch von den neuesten Sicherheitsverbesserungen profitieren und nichts zu befürchten haben.

Externes Unternehmen handelte erst nach der Lösung

Ein Unternehmen, das sich selbst als Spezialist für Smart-Contract-Sicherheit bezeichnet, kontaktierte das Bug-Bounty-Programm von Ledger erst, nachdem der Fix bereits ausgerollt war. Darüber hinaus habe das Unternehmen laut Guillemet nie ein inhaltliches Gespräch mit dem Bounty-Team geführt.

Anschließend veröffentlichte das Unternehmen Beiträge, die den Eindruck erweckten, die Schwachstelle sei noch nicht behoben. Guillemet weist diese Darstellung zurück und spricht von einem bewussten Erzeugen von Unruhe für Aufmerksamkeit, nicht von seriöser Sicherheitsforschung.

KI verändert die Sicherheitslandschaft

Guillemet räumt ein, dass KI die Arbeit von Angreifern wie Verteidigern verändert. Er gibt an, dass Donjon aktiv KI einsetzt, um Schwachstellen zu finden, bevor Nutzer davon betroffen sind. Das ist seiner Meinung nach der richtige Ansatz.

Gleichzeitig warnt er, dass Schnelligkeit ohne verantwortungsvolle Offenlegung dem Ökosystem eher schadet. Eine Partei, die Erkenntnisse ohne Verifizierung und ohne Absprache mit der betroffenen Partei veröffentlicht, trägt seiner Ansicht nach unterm Strich negativ bei, unabhängig von der verwendeten Technologie. Ethereum steht derzeit bei 2.450 Dollar, ein Anstieg von 1,5 Prozent in den letzten 24 Stunden. Analyst Michaël van de Poppe hatte zuvor bereits über eine mögliche Kursbewegung in Richtung der Hochs geschrieben.