Ledger 以太坊漏洞修复引争议：披露时机成焦点

核心提要：Ledger 在被第三方披露前已修复其以太坊应用中的关键漏洞，但双方在披露时间与方式上存在分歧。尽管未发生资金被盗事件，用户仍需及时更新固件并谨慎核对交易。

Ledger 于漏洞公开前完成以太坊应用修复

针对安全公司 TestMachine 公开披露的以太坊应用漏洞，Ledger 表示已在报告发布约两周前完成修复。首席技术官 Charles Guillemet 于 8 月 23 日确认该更新，强调内部安全团队 Ledger Donjon 通过人工智能辅助分析识别出问题。

内部检测机制发现潜在风险，修复提前部署

该漏洞影响 Ledger 的“清晰签名”功能，该功能本意是让用户在设备屏幕上直接查看交易金额、接收地址及智能合约操作内容，以提升透明度。然而，据测试机构指出，恶意应用可能在用户审阅第一笔交易时悄然注入第二条指令，实现交易替换。

交易核验流程遭绕过，存在隐蔽篡改风险

TestMachine 声称，其研究工具 Azimuth 发现攻击者可利用应用与设备间通信间隙，在用户批准前将实际执行的交易替换为另一项不同操作。例如，看似仅授权小额转账，实则暗中授予大额代币控制权。此行为在用户界面显示无异常，但后台已完成变更。

披露节奏引发分歧，修复时效成争论点

TestMachine 表示其在 Ledger Flex 设备上验证了漏洞，并推测包括 Nano X、Nano S Plus、Stax 及 Apex 在内的多款设备也可能受影响。但截至目前，尚未有完整公开演示证实所有型号均遭利用。

Guillemet 对披露方式提出异议，指研究人员在修复程序上线后才联系漏洞赏金计划，且在未获确认情况下即宣称问题仍存，此举被形容为制造舆论压力。而 TestMachine 强调已提交验证信息，但拒绝接受奖励，双方对事件进展顺序各执一词。

用户应采取主动防护措施应对潜在威胁

Ledger 建议用户立即升级钱包软件、设备固件及以太坊应用至最新版本，特别提醒旧版应用即使更新桌面端也难以完全规避风险。同时，必须在设备屏幕亲自核对每笔交易细节，避免盲目签署。

该漏洞与此前影响 Zilliqa 应用的私钥暴露事件性质不同，后者涉及不可逆的密钥泄露，而本次问题可通过更新缓解。截至 8 月 24 日，尚未有资金损失报告，也未启动补偿或追回机制，官方亦未公布具体受影响版本列表。