A Ledger, gigante francesa na fabricação de carteiras físicas para criptomoedas, confirmou neste domingo (23) que identificou e sanou uma falha de segurança em seu aplicativo dedicado à rede Ethereum. A vulnerabilidade estava associada a fluxos específicos da funcionalidade de assinatura transparente de transações.
Segundo relatos, um perfil identificado como TestMachine — supostamente especializado em auditoria de contratos inteligentes — tornou pública a falha na última sexta-feira (21). De acordo com a publicação, um investidor poderia iniciar uma transferência para 'Alice', visualizar as informações corretas na tela do dispositivo, porém, enquanto a interface de confirmação permanecesse ativa, seria possível injetar comandos adicionais. Ao tocar em 'ok', o aparelho acabaria aprovando o que estivesse armazenado na memória, e não a transação original.
Charles Guillemet, diretor de tecnologia da Ledger, reagiu com veemência à divulgação. Em publicação nas redes sociais, o executivo classificou o episódio como manobra para espalhar medo, incerteza e dúvida entre os usuários. "Existe uma campanha deliberada de pânico sendo disseminada por uma suposta empresa de segurança de contratos inteligentes, que alega ter encontrado uma falha no aplicativo Ethereum da Ledger. Houve, sim, um problema técnico em determinados fluxos de assinatura transparente. Ele foi localizado pela equipe do DonjonLedger por meio de nossa plataforma de pesquisa de vulnerabilidades alimentada por inteligência artificial. A correção já estava disponível há duas semanas. Quem mantém os aplicativos atualizados está plenamente protegido. Esse é o relato completo dos fatos", escreveu Guillemet.
O executivo criticou duramente a postura da empresa que revelou a falha publicamente. De acordo com Guillemet, a organização entrou em contato com o programa de recompensas por erros da Ledger somente após a correção já ter sido implementada. Além disso, segundo ele, não foram seguidos os protocolos estabelecidos para divulgação responsável de vulnerabilidades. "Isso não se enquadra em pesquisa de segurança séria. Trata-se de uma estratégia para conquistar visualizações mediante o alarde. Divulguem informações com responsabilidade. Confirmem dados antes de publicar. Não confundam barulho com uma descoberta genuína", completou.
Guillemet ainda aproveitou para destacar o papel transformador da inteligência artificial no universo da segurança cibernética. "Aqui vai uma reflexão importante. A inteligência artificial está reformulando completamente o cenário de segurança, beneficiando tanto quem se protege quanto quem ataca. A equipe do DonjonLedger está na linha de frente dessa revolução, utilizando inteligência artificial para detectar falhas reais antes que atinjam os usuários finais. Contudo, pesquisas conduzidas no ritmo da inteligência artificial só fortalecem o ecossistema se os pesquisadores continuarem adhering aos princípios fundamentais de segurança", afirmou.
O diretor de tecnologia encerrou reforçando a orientação para que os usuários mantenham seus aplicativos e firmwares sempre atualizados, garantindo assim a proteção de seus ativos digitais contra ameaças conhecidas.
Fonte: Livecoins
