Co dokładnie wykrył Ledger Donjon?

27 sierpnia 2026 roku zespół Ledger Donjon opublikował biuletyn bezpieczeństwa LSB 025. Problem znajdował się w aplikacji Ethereum instalowanej bezpośrednio na urządzeniach Ledger.

Podczas swapu użytkownik zatwierdzał w aplikacji Exchange rodzaj aktywa, kwotę i adres depozytowy. Następnie aplikacja Ethereum miała podpisać odpowiadającą temu płatność tokenem bez ponownego wyświetlania wszystkich danych na ekranie urządzenia.

Kontrola porównywała adres i ilość tokenów, ale nie sprawdzała rodzaju wykonywanej operacji. To istotne, ponieważ funkcje ERC-20 transfer oraz approve zawierają adres i ilość w tej samej kolejności.

W efekcie zamiast jednorazowego przesłania tokenów mogła powstać odwołalna zgoda pozwalająca partnerowi swapu pobrać tę samą liczbę tokenów później. Podatna ścieżka tolerowała również dodatkowe dane, których standardowy transfer tokena nie powinien zawierać.

Czy atakujący mógł wyczyścić cały portfel?

Nie w ramach tej konkretnej luki. Jej skutki były ograniczone przez kilka warunków:

• atak wymagał kontroli nad transakcją wysyłaną do urządzenia podczas swapu, na przykład przez skompromitowanego dostawcę lub malware na komputerze;
• zgoda musiała trafić dokładnie na adres depozytowy zweryfikowany wcześniej przez aplikację Exchange;
• dotyczyła tego samego tokena i tej samej ilości, którą użytkownik zgodził się wymienić;
• nie było możliwości ustawienia dowolnego adresu ani zgody bez limitu;
• samo approve nie przesuwa tokenów. Do ich pobrania potrzebna jest druga transakcja;
• swap nie zostałby zakończony, bo partner nie otrzymałby oczekiwanej płatności.

To nadal poważne naruszenie podstawowej zasady portfela sprzętowego, według której urządzenie powinno podpisywać wyłącznie operację zaakceptowaną przez użytkownika. Nie jest to jednak mechanizm pozwalający po cichu przejąć seed albo opróżnić wszystkie konta.

Kogo dotyczy luka LSB 025?

Jeżeli tylko przechowujesz ETH lub tokeny i nie wykonywałeś swapów przez ścieżkę Ledger Exchange, ten konkretny wektor nie prowadzi do samoczynnej utraty środków. Aktualizacja nadal jest konieczna, ponieważ wersja 1.22.3 usuwa również inne błędy dotyczące prezentowania i podpisywania transakcji.

Nie pomyl trzech różnych luk

Ledger opublikował tego samego dnia trzy biuletyny. Łączenie ich w jeden „atak na Ledgera” prowadzi do błędnych wniosków.

Co należy zrobić teraz? Aktualizacja krok po kroku

1. Uruchom Ledger Wallet na komputerze.
   Korzystaj wyłącznie z oficjalnej aplikacji. Jeśli jej nie masz, pobierz ją bezpośrednio z oficjalnej strony Ledger. Nie używaj linków z reklam, komentarzy ani wiadomości prywatnych.
2. Kliknij „Zaktualizuj teraz”.
   Jeśli w Ledger Wallet pojawi się komunikat o dostępnej aktualizacji programu, wybierz opcję Zaktualizuj teraz i poczekaj na ponowne uruchomienie aplikacji.
3. Podłącz urządzenie Ledger i wpisz PIN.
   Użyj kabla USB, odblokuj urządzenie i zatwierdź dostęp do sekcji My Ledger, jeśli na ekranie pojawi się takie pytanie.
4. Zaktualizuj system urządzenia Ledger.
   W My Ledger sprawdź dostępność aktualizacji systemu urządzenia, wcześniej nazywanej aktualizacją firmware’u. Jeśli jest dostępna, uruchom ją i wykonuj polecenia wyświetlane na komputerze oraz Ledgerze. Wcześniej upewnij się, że masz bezpiecznie zapisaną recovery phrase. Nie wpisuj jej do programu ani na żadnej stronie.
5. Zaktualizuj aplikację Ethereum na Ledgerze.
   Po aktualizacji systemu wróć do My Ledger, znajdź Ethereum i wybierz Update albo Update all. Wymagana wersja to 1.22.3 lub nowsza.
6. Sprawdź numer wersji.
   Przy aplikacji Ethereum w My Ledger upewnij się, że widnieje numer 1.22.3 lub wyższy. Dopiero ten krok potwierdza instalację poprawki LSB 025.

Checklista po aktualizacji

• Ledger Wallet na komputerze został zaktualizowany.
• System urządzenia Ledger jest aktualny.
• Aplikacja Ethereum ma wersję 1.22.3 lub nowszą.
• Numer wersji został sprawdzony w My Ledger.
• Recovery phrase nie została nigdzie wpisana ani nikomu przekazana.
• Jeśli wykonywałeś swapy, sprawdziłeś zgody na tokeny.

Odinstalowanie aplikacji Ethereum z urządzenia i ponowne jej zainstalowanie nie usuwa kryptowalut. Środki są zapisane w blockchainie, a dostęp do nich wynika z kluczy odtwarzanych z recovery phrase, nie z samej aplikacji na urządzeniu.

Robiłeś ostatnio swap? Sprawdź zgody na tokeny

Jeżeli wykonywałeś swap przez Ledger Exchange na podatnej wersji, możesz dodatkowo sprawdzić historię i aktywne zgody ERC-20:

1. otwórz narzędzie Token Approvals w eksploratorze właściwej sieci, na przykład Etherscan dla Ethereum;
2. sprawdź swój publiczny adres, bez podawania recovery phrase;
3. zwróć uwagę na zgody dla tokenów używanych podczas ostatnich swapów;
4. jeśli widzisz nieoczekiwane approve dla dostawcy swapu, odwołaj zgodę. Operacja revoke wymaga opłaty sieciowej.

Czego nie robić po informacji o luce?

• nie resetuj Ledgera tylko dlatego, że pojawił się biuletyn;
• nie przenoś środków w pośpiechu na adres podany przez rzekome wsparcie;
• nie wysyłaj recovery phrase do formularza, konsultanta ani „technika”;
• nie instaluj aplikacji z linków otrzymanych na Telegramie, Discordzie lub w wiadomości prywatnej;
• nie zakładaj, że aktualizacja samego firmware’u załatwiła problem.

FAQ

Źródła

• Ledger Donjon, LSB 025
• Ledger Donjon, LSB 024
• Ledger Donjon, LSB 023
• Lista biuletynów bezpieczeństwa Ledger
• Repozytorium aplikacji Ethereum Ledger
• Instrukcja aktualizacji aplikacji Ledger

Materiał ma charakter edukacyjny i dotyczy informacji dostępnych 27 sierpnia 2026 roku. Nie stanowi porady inwestycyjnej.