Ledgerは2024年6月までにEVM DAppのブラインド署名を無効にし、最近のエクスプロイトの被害者に補償する。

CryptoPotatoによると、ハードウェアウォレットメーカーのLedgerは、2024年6月までにイーサリアム仮想マシン（EVM）分散型アプリケーション（DApps）のブラインド署名を無効にする計画を発表した。この決定は、多数のDAppsがLedgerデバイスに接続するために利用するライブラリにウォレットドレイナーが追加されたエクスプロイトに対応するものである。同社は、最近のエクスプロイトで約60万ドルの暗号資産が盗まれたことを明らかにし、影響を受けた被害者への補償を約束した。Ledgerは、2024年6月までにLedgerデバイスによるブラインド署名の慣行を廃止すると宣言し、ユーザー保護を強化し、分散型アプリケーション全体で明確な署名を促進するための新しい標準を確立することを目指している。 先週の最近のエクスプロイトでは、Twitter上の開発者が、LedgerデバイスとDApps間の接続を容易にするライブラリであるLedger Connect Kitの悪意のあるバージョンを特定した。Web3のセキュリティ企業BlockAidによると、攻撃者はLedger Connect KitのNPMパッケージにウォレットを枯渇させるペイロードを注入し、Sushi.comやHey.xyzのようなDAppsにサインオンしたユーザーから資金を流出させた。ソフトウェアウォレットの開発者であるMetaMaskは、この攻撃のニュースを受けて、ユーザーに「DAppsの使用を停止する」よう警告した。Ledger社は、元従業員がフィッシング攻撃の被害に遭い、攻撃者が元従業員のNPMJSアカウントにアクセスし、悪意のあるバージョンのLedger Connect Kitをプッシュしたために攻撃が発生したことを確認した。この侵害されたコネクトキットは、それを使用してDAppに接続しているすべてのウォレットからハッカーのウォレットにユーザーの資金を再ルーティングしました。Ledgerは迅速に対応し、セキュリティチームが警告を出してから40分以内に修正プログラムを導入した。Connect Kitの新バージョン（1.1.8）がリリースされた。このエクスプロイトによって、LedgerのデバイスとLedger Liveアプリが危険にさらされることはなかった。