Las apps de altcoins de Ledger podían firmar transacciones de Bitcoin (elusión del aislamiento entre apps)

El boletín LSB-014 de Ledger indica que la aplicación Bitcoin y la mayoría de sus derivadas en el Nano S y el Nano X no aplicaban la restricción de que cada aplicación derive claves solo en su propia ruta. Como consecuencia, una aplicación derivada de Bitcoin podía derivar claves públicas o firmar transacciones de Bitcoin. El boletín enumera como afectadas Litecoin, Dogecoin, Dash, Bitcoin Testnet y otras aplicaciones derivadas; Bitcoin Cash, Zcash y algunas otras no lo estaban, porque usan un formato de firma diferente.

Según el investigador, citado por Cointelegraph, a un usuario se le podía mostrar una transacción de una moneda de menor valor, como Litecoin o una bifurcación de Bitcoin, mientras se emitía una transacción real de Bitcoin; la aplicación Bitcoin Testnet también aceptaba transacciones de Bitcoin de la red principal y las mostraba como testnet. Un atacante necesita conseguir que el usuario apruebe una transacción de este tipo preparada por software malicioso en el host.

El investigador monokh comunicó el problema a través del programa de recompensas por errores de Ledger el 2 de mayo de 2020, y se acordó una fecha de divulgación a 90 días, el 2 de agosto. Ledger afirma que el investigador publicó los detalles el 4 de agosto sin avisar antes a su equipo de seguridad, y que actualizó la aplicación Bitcoin el 5 de agosto. Ledger dice que no bloqueó las rutas inusuales porque eso podría impedir a los usuarios acceder a sus fondos; en su lugar, la aplicación Bitcoin 1.4.6 muestra un aviso cuando una aplicación derivada deriva en una ruta inusual. Según Cointelegraph, el investigador dijo que Ledger no había corregido el problema por completo y que había optado por un aviso en lugar de una corrección completa.

Qué recomienda Ledger:

• Actualiza la aplicación Bitcoin a la versión 1.4.6 o posterior.