Falha no app Ethereum da Ledger expôs risco de aprovação ilimitada

A Ledger corrigiu em 12 de agosto uma falha no app Ethereum que podia fazer o usuário aprovar na tela uma transferência simples e assinar, sem saber, uma permissão ampla sobre seus tokens. A versão 1.22.2 foi distribuída de forma silenciosa via Ledger Live. A divulgação pública só ocorreu entre 23 e 24 de agosto, quando a empresa de segurança TestMachine detalhou o caso.

A falha estava na camada de exibição.

O que falhou no clear signing

É o modo em que o hardware decodifica a transação e mostra de forma legível o que será assinado. Valores e permissões aparecem no visor. Quando essa camada falha, a garantia central da carteira deixa de existir, pois o titular decide com informação incorreta.

A exploração dependia de uma condição de corrida no canal APDU, sigla para Application Protocol Data Unit, o protocolo que transporta comandos entre o computador e o dispositivo. Um aplicativo descentralizado malicioso podia exibir uma transferência de baixo valor na etapa de revisão e, na janela de assinatura, substituir o conteúdo por uma aprovação ilimitada de tokens ERC 20.

Esse tipo de aprovação funciona como autorização permanente. Uma vez concedida, o contrato pode movimentar os tokens até a revogação. A troca expõe todo o saldo em uma única confirmação.

A descoberta inicial foi da Donjon, laboratório interno da Ledger. O diretor de tecnologia Charles Guillemet afirmou que a falha foi encontrada pela Donjon com sua suíte auxiliada por inteligência artificial e liberada cerca de duas semanas antes do debate público.

A TestMachine confirmou achado independente com o agente Azimuth dentro do processo de divulgação coordenada. Em 24 de agosto descreveu o vetor como substituição de estado de assinatura.

O repositório oficial LedgerHQ app Ethereum no GitHub registra a cronologia sem adjetivos. A tag 1.22.2 foi publicada com nota curta de correção de segurança e a tag 1.22.3, liberada em 26 de agosto às 09h30 UTC, expandiu o changelog com nove itens ligados à revisão em tela, incluindo a correção direta de exibição incorreta de valores no clear signing.

O que muda com a versão 1.22.3

O detalhamento ajuda a medir o perímetro.

Há correção para fluxo de swap que podia ignorar validação de calldata quando a assinatura às cegas estava habilitada e bloqueio a transações legadas vulneráveis a replay entre cadeias. Também houve rejeição de autorizações EIP 7702 sem identificador de cadeia e correção na revisão que podia levar o usuário a assinar com chave diferente da mostrada.

O pacote trouxe ainda ajustes no depósito de validador, que passou a mostrar a chave completa e rejeitar depósitos malformados, e na exportação de privacidade, que passou a exigir confirmação explícita. O registro cita vazamento de estado de plugin entre transações.

Os modelos alcançados compartilham o mesmo código base.

Ledger Flex, Nano X, Nano S Plus, Stax e Apex aparecem como alvos de compilação no manifesto. A Ledger não publicou boletim dedicado na página Donjon LSB até 26 de agosto, mas o histórico indica que correções de app são consolidadas no changelog antes de virarem boletim.

Até a publicação, nenhum caso de exploração havia sido registrado. TestMachine e os veículos repetem o ponto. O vetor exige interação ativa e confirmação com informação visual incorreta.

Quem permanece em versão anterior à 1.22.2 continua vulnerável ao interagir com um dApp malicioso. A medida imediata é atualizar o app Ethereum pela Ledger Live, confirmar a versão e manter firmware e demais apps atualizados. Após atualizar, quem usou a carteira em agosto com versão antiga deve revisar permissões ativas de ERC 20 e revogar excessos.

O que o usuário deve fazer agora

Revogar o que não for essencial é higiene básica.

O caso se soma a outros episódios de 2026 com escopos distintos. O app Zilliqa apresentou falha de geração previsível de números aleatórios desde 2019 que levou ao roubo de 683 milhões em ZIL envolvendo mais de 6.700 contas, observado em 19 de julho e divulgado em 21 de julho. Já a exposição de dados de contato via processador Global e não tem relação com dispositivo.

Nenhum dos eventos implica comprometimento de sementes no app Ethereum. A empresa reiterou que o problema é isolado ao app. Como o vetor exige um dApp malicioso específico, a ausência de perdas registradas não reduz a gravidade da janela.

O episódio expõe a mudança no ciclo de descoberta. Donjon e TestMachine usaram varredura auxiliada por inteligência artificial sobre campos e plugins.

Para o usuário de Ethereum, o recado é operacional.

Manter o clear signing habilitado, não adiar atualizações, tratar toda aprovação ilimitada como exceção e auditar permissões periodicamente. A versão 1.22.3 já está disponível no GitHub e via Ledger Live e consolida as correções. Para quem ainda não atualizou, a recomendação é não interagir com novos dApps até concluir a atualização.