Ledger Live zeigte stornierte RBF-Bitcoin-Zahlungen als empfangen an (BigSpender)

Am 2. Juli 2020 veröffentlichte das Wallet-Unternehmen ZenGo eine Untersuchung namens BigSpender darüber, wie einige Bitcoin-Wallets mit Replace-By-Fee-Transaktionen (RBF) umgehen. Laut SiliconANGLE und Decrypt waren Ledger Live, Edge und Breadwallet betroffen. Ledgers Bulletin LSB-012 besagt, dass Ledger Live das Guthaben des Nutzers erhöhte, sobald eine unbestätigte eingehende Transaktion empfangen wurde, und es nicht wieder verringerte, wenn diese Transaktion storniert wurde.

Laut Ledger konnte ein Angreifer eine hochwertige Transaktion mit minimalen Gebühren senden und sie anschließend stornieren, sodass das Opfer glaubte, die Zahlung sei eingegangen; das Bulletin ergänzt, dass Send Max blockiert sein konnte, wenn das angezeigte Guthaben das tatsächliche überstieg. SiliconANGLE beschreibt drei Formen: einen einfachen Double Spend, eine Verstärkungsvariante, bei der wiederholt stornierte Zahlungen das Guthaben aufblähen, und eine Denial-of-Service-Variante. Ledgers Hardware-Wallets waren nicht betroffen; Ledger-CTO Charles Guillemet sagte gegenüber Decrypt, die Hardware sei von diesem Fehler der Benutzeroberfläche nicht betroffen, und bezeichnete ihn eher als Täuschung denn als Schwachstelle.

LSB-012 nennt Tal Be’ery und Oded Leiba von ZenGo, die das Problem über Ledgers Bug-Bounty-Programm meldeten, und erklärt, dass es ab Ledger Live 2.7.0 behoben ist. Decrypt berichtete am Tag der Offenlegung, dass Ledger in Version 2.6 nur die Verstärkungsvariante behoben habe und andere Varianten noch nicht behoben seien; Guillemet sagte, ein Update werde ein Banner einblenden, wann immer eine eingehende Transaktion unbestätigt ist. ZenGo informierte die Hersteller etwa 90 Tage vor der Veröffentlichung.

Was Ledger empfiehlt:

• Aktualisieren Sie auf Ledger Live 2.7.0 oder neuer.
• Prüfen Sie verdächtige eingehende Transaktionen in einem Block-Explorer, der unbestätigte Transaktionen kennzeichnet.