Tekoälyyn (AI) erikoistunut turvallisuusyritys paljasti Ledgeriä koskevan Ethereum-sovelluksen bugin. Ledger kertoo korjanneensa vian huomaamattomasti jo kaksi viikkoa aiemmin.
Teknologiajohtaja Charles Guillemet kutsui julkista paljastusta pelon lietsonnaksi. Korjaus julkaistiin 12. elokuuta yhdellä lauseella, ilman erillistä turvallisuustiedotetta.
Mitä Ledgerin Ethereum-sovelluksen bugi oikeastaan teki?
Ledger lupaa yhden asian ennen kaikkea: näet ruudulla mitä olet allekirjoittamassa. Tällä lupauksella on nimikin; Ledger kutsuu sitä selkeäksi allekirjoittamiseksi. Se muuttaa raakakoodin ymmärrettäväksi tekstiksi laitteen näytölle.
TestMachine kertoi löytäneensä tavan kiertää tämän ominaisuuden. Yritys kehittää Azimuth-nimistä tekoälysovellusta, joka etsii haavoittuvuuksia älysopimuksista. Sen omalla EVMBench-testillä Azimuth löytää 86,3 % tunnetuista bugeista, väärien positiivisten osuus on noin 2,7 %.
Vian voi kuvata näin: Haitallinen verkkosivu saattoi lähettää laitteelle uuden komennon sillä aikaa kun käyttäjä tutki yhä ensimmäistä.
Selaimen ja laitteen välistä kanavaa kutsutaan nimellä Application Protocol Data Unit eli APDU. Kanava jäi päälle tarkastelun ajaksi. Se hyväksyi uuden pyynnön.
Näytöllä luki pieni siirto. Sitten hyväksyit sen. Oikeasti allekirjoitit rajoittamattoman token-määrän hyväksynnän tuntemattomalle.
Tämä viimeinen kohta tekee asiasta olennaisen. Chainalysis on selvittänyt, että noin miljardi dollaria kryptoa on varastettu hyväksyntä-huijausten kautta toukokuusta 2021 lähtien. Uhrien on itse allekirjoitettava nämä hyväksynnät.
TestMachine kertoo varmistaneensa bugin Ledger Flex -laitteella. Ledger on myynyt yli 7 miljoonaa laitetta 180 maassa.
Ledgerin Donjon-tiimi ehti ensin
Guillemet kääntää aikajanan toisinpäin. Donjon on Ledgerin oma hakkuritiimi. Hänen mukaansa tiimi löysi bugin AI-työkaluillaan ja julkaisi korjauksen ensimmäisenä.
Julkinen muutosloki tukee tätä päivämäärää. Versio 1,22,2 julkaistiin 12. elokuuta. Turvallisuusmerkintä sanoo vain: “Security issues.”
Donjon on julkaissut 22 numeroitua turvallisuus-tiedotetta. Tämä bugi ei kuulu niihin. Uusin tiedote (4.6. päivätty) käsittelee Moneroon liittyvää avainten palautusongelmaa.
TestMachine hyödynsi tätä tiedotusaukkoa. Ledger korjasi vian, mutta omistajille ei kerrottu mitä korjattiin.
Guillemet’n kriittisin kommentti liittyi tapakulttuuriin. Hänen mukaansa TestMachine otti yhteyttä palkkio-ohjelmaan vasta korjauksen jälkeen. Tiimi ei ollut tekemisissä palkkiotiimin kanssa lainkaan.
“…Sitten he julkaisivat ketjun antaen ymmärtää, että ongelma on ratkaisematta. Näin ei ole. Tämä ei ole turvallisuustutkimusta. Se on pelon rakentamista huomiota varten,” totesi Charles Guillemet, Ledgerin teknologiajohtaja kommentissaan.
Seuraa meitä X:ssä niin saat uusimmat uutiset tuoreeltaan
TestMachine kehui korjauksen nopeutta ja kieltäytyi palkkiosta. Ledger maksaa palkkioita Bitcoinilla, ja summat päätetään tapauskohtaisesti.
Tekoäly löysi bugin kahdesti – ihmiset silti väittelivät
Molemmat osapuolet käyttivät koneoppimista ja päätyivät samaan vikaan. Tämä kehityskulku on huomionarvoinen.
Ledger on esittänyt saman väitteen aiemminkin. Yrityksen johto on jo kuukausia todennut, että AI-hyökkääjät uhkaavat lompakoita enemmän kuin heikko rautataso.
Guillemet rajasi keskustelun kurinalaisuuteen.
“AI:n nopeuttama tutkimus parantaa ekosysteemin turvallisuutta vain, jos tekijät noudattavat perustavanlaatuisia turvallisuusperiaatteita. Ilmoita vastuullisesti. Varmista ennen julkaisua. Älä sekoita melua löydökseen.”
Väittely on tuttu ilmiö. Turvallisuusyritykset ovat reagoineet voimakkaasti esimerkiksi Trezor-lompakon hakkeroinnin jälkeen, samoin CertiK ja Kraken kiistelivät ilmoitusehdoista vuonna 2024.
Myös vika on tuttu. Tammikuussa 2021 Donjon paljasti, että sama Ethereum-sovellus ei näyttänyt siirtoon liittyviä tietoja tukemattomien omaisuuserien kohdalla. Sama sovellus, sama opetus: näkemäsi ei ollut sama kuin mitä allekirjoitit.
Tekoäly löytää nyt nämä viat tunneissa. Toimittajat ja tutkijat toimivat yhä ihmisen vauhdilla. Tämä kuilu ruokkii keskustelua.
Laitteiden omistajille korjaus on yksinkertainen: avaa Ledger Live, päivitä Ethereum-sovellus ja varmista, että versionumero on 1,22,2.
