Ledger 披露并修复了 Ethereum App 中一项高严重性漏洞。在特定批量交易结构下，设备屏幕可能只向用户清楚展示其中一项操作，但最终签名却授权整个批次。
受影响版本为 1.19.0 至 1.22.2，修复版本为 1.22.3。Ledger 表示漏洞已在研究环境复现，但没有证据显示其在真实环境中被利用，也没有确认的用户资金损失。
发生了什么？
漏洞涉及包含大量操作的批量签名。概念验证中，一笔交易可以包含 257 项操作，设备却可能只显示其中一项供用户确认。
用户以为自己授权的是屏幕上看到的单一操作，实际签名范围却更大。这破坏了硬件钱包最重要的安全承诺之一：设备屏幕展示的内容应与最终授权完全一致。
为什么这很重要
硬件钱包的价值不只是把私钥保存在隔离芯片中，还要让用户在可信屏幕上核实交易。
即使私钥从未泄露，只要设备对签名内容的解释不完整，攻击者仍可能诱导用户批准超出预期的操作。
什么是清晰签名？
清晰签名是把复杂的交易数据转换成用户能理解的内容，例如转出多少代币、发送给谁、授予何种权限。
相对地，盲签只显示难以理解的哈希或原始数据。用户无法真正判断自己在授权什么。
清晰签名只有在“显示内容与实际签名内容一致”时才有意义。
概念验证说明了什么
研究人员证明，特殊构造的批量操作可能绕过正常显示逻辑。设备不是伪造一笔完全不同的交易，而是没有完整呈现签名所覆盖的所有操作。
这类漏洞特别危险，因为用户可能严格遵循“在硬件钱包屏幕上核对”的安全建议，却仍未看到完整风险。
哪些版本受到影响？
Ledger Ethereum App 1.19.0 至 1.22.2 受到影响。用户应升级到 1.22.3 或更新版本，并在设备上确认应用版本。
为什么 1.22.2 需要特别注意
部分用户可能误以为接近最新的版本已经安全，但 1.22.2 仍在受影响范围内。真正包含修复的是 1.22.3。
安全更新不能只看“最近是否升级过”，必须核对精确版本号。
同时修复的其他问题
同一版本还处理了与交易解析和显示相关的其他问题。共同主题是：随着智能合约调用、批量交易和账户抽象变得复杂，把机器数据准确翻译成人类可读信息越来越困难。
硬件钱包仍然有价值
这次披露并不意味着硬件钱包没有意义。隔离私钥仍能阻止大量恶意软件和远程攻击，可信屏幕也比在可能被感染的电脑上确认交易更安全。
正确结论不是“Ledger 被攻破”或“硬件钱包无用”，而是硬件钱包安全同时依赖密钥保护、交易解析、屏幕显示和用户审核。
风险与边界
Ledger 表示漏洞需要特定交易结构，目前没有真实利用证据。不能把披露描述成大规模用户钱包被盗。
但没有已知损失也不代表问题可以忽略。研究人员在攻击者之前发现高严重性签名解释漏洞，及时升级仍然必要。
用户现在应该做什么
- 将 Ledger Ethereum App 更新至 1.22.3 或更新版本；
- 直接在设备上确认版本号；
- 只使用官方 Ledger 软件；
- 批准前继续核对交易详情；
- 尽可能避免盲签。
接下来关注什么
更大的问题是，硬件钱包厂商如何处理账户抽象、批量调用、跨链桥、兑换、Permit、多签和 DeFi 交互等日益复杂的交易。
保护私钥只有在签名者准确理解授权内容时才真正有用。如何把复杂代码转化为真实、完整、可核验的屏幕信息，可能成为未来数年硬件钱包最重要的安全课题。
常见问题
Ledger 被黑了吗？
不是。Ledger 披露的是安全研究发现的 Ethereum App 漏洞，没有证据显示其基础设施遭到大范围入侵。
哪些 Ledger Ethereum App 版本受影响？
1.19.0 至 1.22.2。
哪个版本修复了漏洞？
1.22.3 或更新版本。
是否有资金被盗？
Ledger 表示没有证据显示该漏洞在真实用户中被利用或造成资金损失。