OneKey复现旧版Ledger漏洞：安全警示而非全面危机

核心提要：OneKey成功复现针对旧版Ledger以太坊应用的交易替换攻击，凸显过时固件风险。事件聚焦于特定版本问题，不涉及当前更新设备，提醒用户保持软件同步以维护安全。

OneKey重现旧版Ledger以太坊应用交易篡改漏洞

硬件钱包厂商OneKey宣布，已成功复现一种针对旧版本Ledger以太坊应用的交易替换攻击。该声明旨在揭示运行过时固件所面临的潜在威胁，但明确指出当前已升级的软件版本未受此问题影响。

攻击行为本质：签名前数据被恶意替换

所谓交易替换攻击，指用户在确认交易时，其实际签署的内容与屏幕上显示的信息不一致。攻击者可诱使用户授权一项操作，而设备后台却执行另一笔完全不同的交易，严重危及资产安全。

相关测试过程由一位安全研究员在X平台发布，其中详细展示了如何利用旧版Ledger以太坊应用实现该行为。值得注意的是，此次复现仅限于已淘汰的应用版本，并非对整个产品线构成普遍威胁。

开源代码为外部验证提供基础

Ledger的以太坊应用基于开源架构，其源码与版本变更记录均公开托管于LedgerHQ的app-ethereum仓库中。这种高度透明性使得包括竞争对手OneKey在内的第三方开发者能够独立审查和测试不同版本的运行逻辑。

这一机制虽增强了行业监督能力，但也意味着新功能或修复可能被提前分析，从而引发更复杂的攻防博弈。

“过时”定义决定影响边界

本次事件的核心限定条件在于软件版本状态。攻击复现对象为已被弃用的旧版应用，表明漏洞的存在与否取决于具体运行环境，而非品牌本身。

项目官方更新日志清晰记录了各版本的修复内容与功能迭代。因此，是否在最新版本中仍存在相同缺陷，尚无定论，需等待厂商进一步回应。

对于普通用户而言，真正的启示并非设备固有缺陷，而是持续关注并及时更新应用版本的重要性——安全防线往往建立在日常维护之上。

对终端用户的实际建议与行业反思

面对此类演示，最直接的应对措施是检查当前安装的以太坊应用版本，确认是否存在可用更新。硬件钱包的安全性高度依赖用户的更新习惯，而非单一漏洞曝光。

OneKey此举虽以竞争背景为支撑，其近期推出TRON链gas费代付工具亦显示其在功能创新上的活跃度，但此次披露也促使整个行业重新审视交易验证流程中的信任机制。

类似事件如The Sandbox桥接漏洞后的1:1赔付承诺，再次证明：对问题的响应速度与透明度，往往比技术细节更深刻地影响用户信心。

鉴于目前信息来源单一且证据链条有限，应理性看待该事件——它反映的是历史版本风险，而非当前系统性漏洞，影响范围、受影响版本及厂商态度仍有待进一步确认。