Ledger被黑后续！Ledger：明年6月底前禁用盲签

加密货币冷钱包Ledger在12月14日因ConnectKit遭植入恶意程式码，导致Web3领域多个项目受影响，一度要求所有用户暂时不要与任何Dapp(去中心化应用程式)互动。事隔一周后，Ledger官网昨(20)日稍晚发布文章详细披露了此次攻击事件的过程及原因，并宣布在2024年6月底前，将暂停在Ledger设备上使用盲签(BlindSigning)，转而用清晰签名(ClearSigning)替代。

Ledger被黑原因及时间线整理

据Ledger官方部落格文章说明，黑客于12月14日利用了LedgerConnectKit漏洞，并透过在与其互动的Dapp(去中心化应用程式)中注入恶意代码，欺骗EVMDapp用户签署交易，从而盗取钱包资产，具体时间线如下：

12月14日上午：一名Ledger前员工遭遇网路钓鱼攻击，盗取了该前员工对NPMJS(应用程式之间共享Javascript程式码的管理器)的访问权限

12月14日上午9:49/10:44/11:37：黑客在NPMJS上发布了携带恶意代码的LedgerConnectKit版本(版本1.1.5、1.1.6和1.1.7)，并利用WalletConnect将用户资产导向黑客钱包

12月14日下午1:45：各大相关项目方及Ledger发现攻击

12月14日下午2:18：Ledger在收到攻击警报40分钟后更新了LedgerConnectKit版本，WalletConnect也禁用了相关通道

12月14日下午2:55：经调解，美元稳定币USDT发行商Tether冻结黑客所盗资金

图源：Ledger

Ledger：明年6月底前禁用盲签

Ledger官方表示目前受损金额共计约60万美元，这些资产均是黑客从EVM DApp上盲签用户那里盗取的，官方承诺，将在2024年2月底之前，帮助用户追回被盗资金。

更重要的是，Ledger还表示在2024年6月底之前，将全面禁止在Ledger设备上进行盲签，转而以ClearSigning取代，以确保用户可以在签名之前验证Ledger设备上的所有交易：“这将产生一个新的标准来保护用户并鼓励用户在使用Dapp时采用ClearSigning。前端攻击已经发生了很多次，且将继续困扰我们的生态系统，而针对此类攻击的万全之策则是始终验证用户在设备上的交易内容，而这只有ClearSigning才能实现：这意味着用户可以在设备上准确查看和验证自己所签署的内容，如果继续使用盲签，用户仍然面临着类似的风险。”

盲签(Blind Signing)是什么？

据维基百科资料显示，“盲签”是密码学中一种数位签名方式，其中资讯的内容在签名之前对签名者是不可见的(Blind)，盲签具有以下特征：

签名者对其签名的资讯内容不可见

签名资讯不可追踪，即当签名资讯被公布后，签名者无法知道这是他何时签署的

盲签的风险

据Ledger官方资料显示，由于NFT、DeFi以及Dapp的飞速发展，用户与智慧合约之间的互动方式也变得更加复杂。当用户在进行盲签时，由于不了解完整签名内容就向智能合约授权，让黑客有了可乘之机，窃取用户资产。