硬體錢包公司 Ledger 日前被網友爆出其產品漏洞：用戶可能在介面上顯示交易 Altcoin 時，實際上是在交易比特幣。針對此安全疑慮，Ledger 並無在收到網友私下回報的一開始就做出修復，而是等到網友將事情在網路上揭露，才在幾天後做出回應。
（相關新聞：三大冷錢包商被駭？Trezor、Ledger、KeepKey 驚傳逾 8 萬位用戶資料遭拍賣！）
近
期，有網友 monokh 寫了一篇完整文章，揭露硬體錢包公司 Ledger 的應用程式存在著十分嚴重的安全問題：它無法將授權交易的 APP 隔離處理不同幣種，意即當用戶以為其正在交易如比特幣現金（BCH）、萊特幣（LTC）等幣值較低的幣種時，實際上很有可能是在不知情的情況下交易了比特幣（BTC）。
Ledger 錢包的漏洞
出於安全考量，許多用戶會將加密貨幣儲存在冷錢包中。
Ledger 冷錢包的重要功能之一是隔離不同幣種間的交易，你一次只能在一個設備上解鎖一個應用程式以交易特定幣種；解鎖後的資產將會與外部連結，能夠導出公鑰、產生數位簽章、確認交易。因此，若 Ledger 要達成「安全」的目標，第一條件即是「沒有被解鎖的應用程式無法與外界連結」。
而近期網友 monokh 發現，Ledger 無法識別比特幣主網以及其分叉，也就是說若你解鎖了 BCH 的應用程式，則比特幣（BTC）、BCH 等的應用程式皆能與外部連結、進行交易。
而今天假設你要傳送 BCH，將會經過以下步驟：
- 解鎖 BCH 的應用程式
- 找到比特幣的 segwit 地址
- 查詢 UTXO 並建立比特幣交易
- 發送提示到設備以簽署此交易
- 接收在比特幣主網上有效的數位簽章
你以為你在交易 BCH，實際上你交易了 BTC。Ledger 應於第二步就發現錯誤並阻止接下來的執行，但功能缺失讓其不斷在設備上提示用戶他是在交易 BCH。
monokh 表示，若未能及時修復此漏洞，將可能導致嚴重的後果，任何人都可利用用戶對 Ledger 錢包的信任進行攻擊，用戶可能會被欺騙交易比特幣、將幣種數量洩漏等。
而他也從 5 月開始不斷地向 Ledger 告知此漏洞，但 Ledger 尚未修正。儘管 Ledger 已經承認了問題的存在，但他們僅在現有的應用程式更新版中加入提示，若用戶面臨到此類狀況，將會跳出提醒。
延伸閱讀：三大冷錢包商被駭？Trezor、Ledger、KeepKey 驚傳逾 8 萬位用戶資料遭拍賣！
Reddit 社群反應
8 月 4 日，有網友在 reddit 上轉貼 monokh 的文章皆露此事，引起網友廣泛討論。其中不乏本來就對 Ledger 安全性不甚滿意的網友，而 Ledger 官方的緩慢回應也使網友觀感不佳。
很棒的發現，而這已經是第二次通過被破壞的控制設備存在的硬幣竊取漏洞，我想是時候該扔掉我的分類帳並轉移到其他地方了
Ledger 的態度不令我意外，過去報告安全漏洞時，我持相同的態度和回應。在我公開披露後，他們才開始認真對待它。
Ledger 的回應
在 monokh 的文章貼出後，Ledger 沉寂幾天終於做出回應。表示修復漏洞所花費的時間大於預期，導致在還未修復完成時 monokh 就在網路上揭露了此事。
針對為什麼僅顯示僅告而非阻止此類交易，Ledger 給出了以下回應：
如果這些交易被阻止，這將鎖定我們許多用戶的資金。這是由早期比特幣分叉的結構引起的整個行業的問題。
國外網友對 Ledger 的回應並不領情，看來 Ledger 的安全團隊真的需有好好投入成本、修正漏洞的決心，才有辦法從日益競爭的冷錢包市場中挽回用戶的心。
相關報導
別管Coinbase！託管機構早把「你的交易資料」交給老大哥！從交易所轉到冷錢包也一樣
Kraken 交易所安全部門揭露「Trezor冷錢包」漏洞：僅花 15 分鐘就成功破解駭入
「台灣第一個密碼貨幣冷錢包，做用戶資產的基礎建設」——庫幣科技創辦人．歐仕邁
讓動區 Telegram 新聞頻道再次強大！！立即加入獲得第一手區塊鏈、加密貨幣新聞報導。
LINE 與 Messenger 不定期為大家服務
