AI挖出Ledger致命漏洞：你看到的是转账，签下的却可能是“无限授权”

一家AI安全公司公开披露了Ledger以太坊应用的一个漏洞。Ledger方面表示，该漏洞早在前两周就已悄悄修复。

Ledger首席技术官Charles Guillemet称这一披露行为是“制造恐慌”。补丁于8月12日发布，仅附带一行说明，未发布安全公告。

Ledger的核心卖点是“清晰签名”——在设备屏幕上将原始交易代码转换成通俗易懂的文字。但TestMachine声称找到了绕过的办法。该公司开发了一款名为Azimuth的AI代理，专门用于在智能合约中搜寻漏洞。在其自有的EVMBench基准测试中，Azimuth能发现86.3%的已知漏洞，误报率约为2.7%。

TestMachine在推文中表示，漏洞由Azimuth在自主扫描Ledger以太坊应用时发现，并在Ledger Flex上验证，已与Ledger团队分享核实，拒绝领取任何赏金。推文还提到，Nano X、Nano S Plus、Stax、Apex共用同一个APDU/UI代码。

漏洞本身很简单：恶意网站可以在用户还在阅读第一条交易信息时，向设备发送第二个命令。浏览器与设备之间的通道称为应用协议数据单元（APDU），它在审查期间仍在监听，因此会接受替换后的交易。用户可能会在屏幕上看到一笔小额转账，然后点击批准，但实际上却是在向陌生地址签署一笔无限额度的代币授权。

这笔授权的风险极大。Chainalysis数据表明，自2021年5月以来，约有10亿美元加密货币因“授权钓鱼”而被盗，而这些受害者都是自己签署的授权。

TestMachine称已在Ledger Flex上确认该漏洞。Ledger已在180个国家售出超过700万台设备。

Ledger的Donjon团队则声称自己是首个发现者。Guillemet表示，Donjon是Ledger的内部黑客团队，他们用自己的AI工具发现了该漏洞，并率先发布了修复。公开的更新日志佐证了这一时间线：版本1.22.2于8月12日发布，但其安全说明只有一句“Security issues”。Donjon已发布22份编号安全公告，但其中没有一份涉及此漏洞。最新一份（6月4日）是关于Monero密钥恢复问题。

Guillemet更尖锐的不满在于流程。他说，TestMachine是在补丁发布后才联系漏洞赏金计划的，从未与赏金团队沟通。Guillemet评论称：“然后他们发帖暗示问题仍未解决。事实并非如此。这不是安全研究，而是为了博眼球而制造恐慌。”

TestMachine则称赞了Ledger修复速度，并放弃了赏金。Ledger以比特币支付赏金，金额逐案确定。

值得注意的是，双方都使用了机器学习来发现同一个缺陷。Ledger此前曾多次表示，AI攻击者对钱包的威胁比硬件弱点更大。Guillemet认为，问题在于纪律：“AI速度的研究只有在遵循基本安全原则时才能让生态系统更安全。负责任地披露，发布前核实，不要把噪音和发现混为一谈。”

这类冲突并不罕见。此前安全公司曾公开披露Trezor设备漏洞，CertiK研究人员也在2024年就披露条款与Kraken发生争执。而此次漏洞本身也似曾相识：2021年1月，Donjon曾披露同一款以太坊应用在遇到不支持的资产时无法显示交易数据。同款应用，同样的教训——所见并非所签。

如今，AI能在几小时内发现这些漏洞，但厂商和研究人员仍以人工速度协作，这正是矛盾所在。对于普通用户来说，修复方法很简单：打开Ledger Live，更新以太坊应用，确认版本为1.22.2。