Ledger lost kwetsbaarheid in Ethereum app op, wijst FUD af

Ledger heeft een kwetsbaarheid in de Ethereum app verholpen voordat een extern beveiligingsbedrijf de zaak publiekelijk oploste. Charles Guillemet, technisch directeur van Ledger, reageert op berichten die suggereren dat het probleem nog steeds bestaat. Volgens hem klopt dat niet: de fout werd al twee weken geleden gevonden en opgelost door het interne team van Ledger. Gebruikers die hun apps up-to-date houden, zijn beschermd.

Ethereum is verkrijgbaar bij Bitvavo en OKX.

In het kort:

• Een kwetsbaarheid in bepaalde signing flows van de Ledger Ethereum app is twee weken geleden ontdekt en opgelost door het interne Donjon team.
• Een extern beveiligingsbedrijf meldde de kwetsbaarheid pas nadat de fix al was uitgerold en publiceerde vervolgens berichten die de indruk wekten dat het probleem nog openstond.
• Ledger CTO Guillemet roept gebruikers op hun firmware en apps up-to-date te houden en de FUD te negeren.

Kwetsbaarheid al twee weken geleden gepatcht

De kwetsbaarheid bevond zich in bepaalde clear signing flows van de Ledger Ethereum app. Het interne onderzoeksteam van Ledger, Donjon, ontdekte het probleem via een eigen AI-gedreven onderzoeksomgeving. De fix werd twee weken geleden uitgerold.

Guillemet stelt dat gebruikers die hun Ledger firmware en apps bijhouden automatisch profiteren van de laatste beveiligingsverbeteringen en niets te vrezen hebben.

Extern bedrijf handelde pas na de oplossing

Een bedrijf dat zichzelf als smart contract beveiligingsspecialist omschrijft, nam pas contact op met het bugbounty programma van Ledger nadat de fix al was uitgerold. Bovendien voerde het bedrijf volgens Guillemet nooit een inhoudelijk gesprek met het bounty team.

Daarna publiceerde het bedrijf berichten die de indruk wekten dat de kwetsbaarheid nog niet was opgelost. Guillemet verwerpt die framing en spreekt van het opzettelijk creëren van onrust voor aandacht, niet van serieus beveiligingsonderzoek.

AI verandert het beveiligingslandschap

Guillemet erkent dat AI het werk van zowel aanvallers als verdedigers verandert. Hij geeft aan dat Donjon actief AI inzet om kwetsbaarheden te vinden voordat gebruikers er last van krijgen. Dat is naar zijn mening de juiste aanpak.

Tegelijkertijd waarschuwt hij dat snelheid zonder verantwoorde openbaarmaking het ecosysteem juist schaadt. Een partij die bevindingen publiceert zonder verificatie en zonder overleg met de betrokken partij draagt volgens hem per saldo negatief bij, ongeacht de gebruikte technologie. Ethereum staat momenteel op $2.450, een stijging van 1,5% in de afgelopen 24 uur. Analist Michaël van de Poppe schreef eerder al over een mogelijke koersbeweging richting de highs.