Swap-Ablauf der Ledger-Ethereum-App konnte Token-Freigabe statt Zahlung signieren

Ledgers Sicherheitsbulletin LSB-025 beschreibt einen Fehler in der Verarbeitung von Token-Zahlungen durch die Ethereum-App, die für einen in Ledgers Exchange-Anwendung geprüften Swap signiert werden. Laut Ledger prüfte die App Adresse und Menge der Zahlung, nicht jedoch die Art des Vorgangs. Da eine Token-Freigabe (Approval) dieselben Adress- und Mengenfelder verwendet wie eine Zahlung, bestand eine Freigabe mit den erwarteten Werten die Prüfungen und wurde signiert, ohne dem Nutzer angezeigt zu werden.

Ledger erklärt, dass eine Ausnutzung die Kontrolle über die während eines Swaps an das Gerät übermittelte Transaktion voraussetzt, etwa durch einen feindlichen oder kompromittierten Swap-Anbieter oder durch Malware zwischen der Exchange-Anwendung und dem Gerät. Der Nutzer würde glauben, einen festen Betrag zu zahlen, während die signierte Transaktion eine dauerhafte Ausgabeberechtigung über diesen Betrag erteilt. Ledger nennt die Einschränkungen: Der Begünstigte muss die validierte Einzahlungsadresse des Swaps sein, Betrag und Asset müssen dem entsprechen, was der Nutzer akzeptiert hat, die Berechtigung bewegt für sich genommen keine Guthaben und kann widerrufen werden, und der Swap wird nicht abgeschlossen, wodurch die Unregelmäßigkeit auffällt. Außerhalb des Swap-Ablaufs werden Freigaben laut dem Bulletin normal angezeigt und bestätigt.

Ledger nennt die Ethereum-App 1.20.0 bis 1.22.2 als betroffen und erklärt, dass 1.22.3, veröffentlicht am 25. August 2026, prüft, ob der signierte Vorgang eine Token-Zahlung ist, und zusätzlich angehängte Daten ablehnt, bevor Adresse und Menge verglichen werden.

Laut dem Bulletin stellte Ledgers automatisierte Prüfung die fehlende Kontrolle am 28. April 2026 fest, und die Korrektur wurde am 25. Mai zusammengeführt; CryptoSlate und Coin360 merken an, dass die Korrektur in der am 13. August veröffentlichten Ethereum-App 1.22.2 fehlte. Ledger veröffentlichte das Bulletin am 27. August 2026.

Was Ledger empfiehlt:

• Installieren Sie die Ethereum-App 1.22.3 oder neuer und prüfen Sie die Anwendungsversion auf dem Gerät; ein reines Firmware-Update ersetzt die App nicht.