我是 LongbridgeAI，我可以總結文章信息。Ledger 發佈了以太坊應用程序版本 1.22.2，以修復 “清除簽名” 功能中的一個關鍵安全漏洞。TestMachine 的研究人員發現，惡意應用程序可以在審核過程中交換交易細節，而不改變顯示的屏幕，從而可能欺騙用户簽署不同的交易。此次更新在審核活動期間阻止新的簽名會話，並增加狀態檢查以防止未經授權的批准。Ledger 聲稱其內部團隊首先發現了該漏洞，而 TestMachine 對披露時間線提出了異議
Ledger 在研究人員揭露流行加密錢包簽名漏洞後迅速推出修復
根據安全公司 TestMachine 的發現，Ledger 的以太坊應用程序中的一個安全漏洞允許連接的應用在用户仍在屏幕上查看交易細節時，替換這些交易細節。
該公司隨後發佈了應用程序的 1.22.2 版本，敦促用户立即更新。
Ledger 今天發佈了以太坊應用 v1.22.2 的 GitHub 版本 發佈説明，全文：“安全問題。” 這也不是摘要.. 這是發佈説明的全部內容。 現在通過 Ledger Live 更新，然後繼續閲讀。這次很重要。🧵 pic.twitter.com/s7YE73SX9R — TestMachine (@testmachine_ai) 2026 年 8 月 24 日
簽名過程中的錯誤是什麼
這個漏洞集中在一個名為清晰簽名的功能上，該功能旨在讓 Ledger 用户確切地看到他們正在批准的內容，無論是金額、錢包地址還是智能合約操作，所有內容都以清晰可讀的文本在設備上顯示。
這個想法很簡單：沒有人應該基於一串他們無法理解的代碼來批准交易。
TestMachine 表示，其研究工具 Azimuth 發現了一種繞過該保護的方法。
根據該公司的説法，具有 WebHID 訪問權限的惡意應用可以在原始交易仍在顯示以供審核時發送第二個簽名命令。
Azimuth 發現併發布的這個漏洞特別嚴重 一個具有 WebHID 訪問權限的惡意 dApp 可以在交易審核期間與 APDU 競爭，並替換正在簽名的交易，而不改變 Ledger 屏幕上顯示的內容。 你審核： 發送 0.01 ETH 到… — TestMachine (@testmachine_ai) 2026 年 8 月 24 日
第二個命令可以悄悄地替換設備內存中的交易，而不會觸發新的審核屏幕。
結果是：屏幕將繼續顯示第一個交易，而設備實際上籤署了完全不同的內容。
TestMachine 指出一個場景，其中一個小的低風險交易被替換為一個更廣泛的代幣批准，而用户相信他們正在確認一些小的內容。
哪些設備受到影響
TestMachine 表示，它在 Ledger Flex 設備上驗證了該漏洞，但聲稱底層代碼在其他型號中也共享，包括 Nano X、Nano S Plus、Stax 和 Apex。
在對 Ledger 以太坊應用進行自主掃描時由 Azimuth 發現。已在 Flex 上驗證。與團隊共享並驗證。拒絕任何賞金。Nano X、Nano S Plus、Stax、Apex 上共享的 APDU/UI 代碼。 始終在線安全的力量 https://t.co/fH5mO97Kkp — TestMachine (@testmachine_ai) 2026 年 8 月 22 日
修復的標記應用清單將所有這些設備列為構建目標，支持了這一説法。
也就是説，在發佈時，尚未出現顯示在所有命名設備上實際被盜資金的完整公開演示。
Ledger 如何聲稱首先發現了這個漏洞
Ledger 堅持認為，在 TestMachine 公開之前，它已經在內部發現並修復了這個問題。
首席技術官 Charles Guillemet 於 2026 年 8 月 23 日宣佈了更新，表示公司的內部安全團隊 Ledger Donjon 使用人工智能研究工具發現了這個漏洞。
他説，修復大約在他公開聲明的兩週前就已發佈。
Guillemet 還對 TestMachine 處理披露的方式提出了異議。
他説，研究人員在修復已上線後才聯繫 Ledger 的賞金計劃，並且他們在沒有先與 Ledger 的賞金團隊核實的情況下，公開聲稱漏洞仍然存在。
他將此描述為為了吸引注意而製造恐慌。
關於 Ledger 簽名者的某些 FUD 正在傳播，由一家聲稱 Ledger 以太坊應用存在漏洞的 “智能合約安全” 公司推動。 確實存在一個關於某些清晰簽名流程的漏洞。它是由 @DonjonLedger 使用他們的 AI 驅動的漏洞發現工具發現的… — Charles Guillemet (@P3b7_) 2026 年 8 月 23 日
TestMachine 則表示，它與 Ledger 共享並驗證了其發現，儘管拒絕了賞金支付。
雙方對實際事件的順序尚未達成一致。
代碼更改實際修復了什麼
查看 Ledger 的公共代碼歷史顯示，與此問題相關的兩個具體修復。
一個提交解決了新簽名命令能夠在返回錯誤之前拆除活動審核的問題。
另一個添加了狀態檢查，因為之前的批准回調能夠在未首先確認應用仍處於預期簽名狀態的情況下籤署交易。
版本 1.22.2 關閉了這兩條路徑。
它現在阻止在審核已經處於活動狀態時啓動新的簽名會話，並拒絕任何批准回調，如果設備的狀態不再與其應有的狀態匹配。
然而，Ledger 並未發佈完整的技術細節或確切受影響版本的列表。
為什麼這與過去的 Ledger 安全問題不同
這個案例與早期涉及 Zilliqa 的 Ledger 應用的漏洞不同，該漏洞直接暴露了用户的私鑰。
中央化交易所餘額遷移的第一次硬分叉計劃在區塊高度 34,844,968，預計激活時間為 2026 年 9 月 2 日大約 12:58 UTC。 它將遷移參與交易所持有的 ZIL 餘額… https://t.co/M7uFV7p6jR — Zilliqa (@zilliqa) 2026 年 8 月 24 日
在某種程度上，這個問題要嚴重得多：它無法對任何已經通過過去簽名暴露的密鑰進行追溯修復。
相比之下，清晰簽名漏洞似乎通過軟件修復本身得到了解決，沒有跡象表明用户資金或密鑰因此受到損害。
Ledger 用户現在應該做什麼
Ledger 建議用户同時更新三項內容：Ledger Wallet 軟件、設備固件和以太坊應用程序本身。
僅更新桌面或移動軟件，而不同時更新運行在物理設備上的應用程序，可能不足以彌補安全漏洞。
除了更新，Ledger 還提醒用户在點擊批准之前，始終直接在設備屏幕上檢查交易詳情，而不是僅依賴於連接的計算機或手機上顯示的信息。
該公司還指出，盲簽名，即在沒有完整可讀詳情的情況下批准交易，仍然存在固有風險，因為並非所有智能合約交互都可以以明文形式顯示。
截至 2026 年 8 月 24 日，Ledger 尚未宣佈與此漏洞相關的任何賠償計劃或資金恢復流程，也未發佈正式建議，説明受影響版本的確切範圍。