Ledger表示，影响部分以太坊清晰签名流程的漏洞，已在外部安全公司公开披露前完成修复。公司首席技术官 Charles Guillemet 8 月 23 日称，当前已更新固件和应用的用户已受到保护。截至 8 月 24 日，尚未出现与这一漏洞直接相关的已确认资金失窃案例。
清晰签名的作用，是在用户确认前，把交易金额、地址和智能合约操作以可读形式显示在设备屏幕上，而不是只展示难以辨认的哈希值。此次问题涉及 Ledger 以太坊应用与外部应用之间的通信流程。
漏洞影响签名核验
安全公司 TestMachine 称，恶意应用可能在用户仍在查看原始交易时，发送另一条竞争指令。按其说法，这可能导致设备屏幕显示的是一笔交易，但实际准备签名的是另一笔操作。
研究人员举例称，攻击者可能把原本范围受限的交易，替换成权限更广的代币授权。Ledger 承认，漏洞存在于“部分清晰签名流程”中，但未公布完整技术说明、受影响版本列表或单独的安全公告。
双方对披露时间说法不一
Guillemet 表示，Ledger 内部安全研究团队 Donjon 借助一套人工智能漏洞研究系统发现了这一问题，并在其发声前约两周完成修复部署。他还称，TestMachine 联系漏洞赏金计划时，补丁已经上线。
TestMachine 则表示，相关发现已与 Ledger 分享并完成验证，但其拒绝领取赏金。双方分歧主要集中在披露顺序，以及问题在公开发文时是否仍处于未修复状态。
用户需同时更新固件和应用
Ledger 提醒，用户应同时更新钱包软件、设备固件以及硬件上的以太坊应用。仅更新桌面端或移动端界面，并不意味着设备内运行的应用已同步更新。
公司还建议用户在设备安全屏幕上再次核对交易详情。Ledger 同时提示，盲签名仍然存在较高风险，因为设备无法把所有智能合约操作都转换成可读内容。
补充信息：以太坊此前已通过 ERC-7730 标准推进可读交易摘要，Ledger 曾参与这一方案开发，后续维护工作已转交以太坊基金会。