A metà agosto Ledger ha rilasciato la versione 1.22.2 della sua app Ethereum, risolvendo un problema che riguardava direttamente la fiducia riposta negli hardware wallet: la possibilità che un’applicazione malevola, sfruttando i permessi giusti per comunicare con il dispositivo, sostituisse la transazione mostrata a schermo con un’altra, senza che l’utente se ne accorgesse durante la fase di approvazione.
A far emergere il problema è stata TestMachine, una società di sicurezza specializzata in strumenti di scansione basati su intelligenza artificiale, che tramite il suo tool Azimuth avrebbe individuato la falla, validandola su un dispositivo Ledger Flex e segnalandola all’azienda senza richiedere la ricompensa prevista dal programma di bug bounty.
La versione di Ledger, però, è diversa. Il CTO Charles Guillemet ha replicato pubblicamente sostenendo che il team interno Donjon avesse già trovato e corretto lo stesso bug in autonomia, grazie a uno strumento proprietario chiamato Cerberus, e che TestMachine si sarebbe fatta avanti solo dopo che la patch era già stata pubblicata. Guillemet ha definito la comunicazione del competitor più vicina a una strategia di marketing che a una reale attività di ricerca sulla sicurezza.
I fatti sembrano dargli in parte ragione: il changelog che documenta la correzione precede di circa due settimane il thread pubblico di TestMachine, e l’annuncio di Cerberus risale già ad aprile. Resta però un elemento che pesa, il fatto che Ledger non ha pubblicato alcun bollettino di sicurezza dedicato a questo bug, nonostante mantenga un archivio pubblico attivo dal 2018 pensato proprio per questo tipo di comunicazioni. L’ultima voce relativa a Ethereum in quell’archivio risale al 2023. Inoltre, una correzione collegata, pensata per applicare lo stesso blocco a livello di libreria condivisa tra tutte le app Ledger, è ancora in fase di revisione e non è stata integrata.
Al di là delle rivendicazioni reciproche, la raccomandazione pratica per chi possiede un dispositivo Ledger resta la stessa: aggiornare l’app Ethereum, aggiornare il firmware del dispositivo e mantenere aggiornato ogni altro software coinvolto nel processo di firma. Un promemoria utile in un momento in cui la sicurezza dei wallet resta centrale per chi opera nel mercato crypto e segue da vicino l’andamento di asset come Ethereum.
