Pendiri OneKey Yishi mengatakan bahwa timnya telah mereproduksi serangan penggantian transaksi di aplikasi Ledger Ethereum App dalam sebuah laboratorium. Intinya: karena adanya kondisi race dalam kode, penyerang dapat mengganti transaksi saat pengguna masih melihat layar. Pengguna melihat dan menyetujui transaksi A, tetapi perangkat justru menandatangani transaksi B yang sama sekali tidak dilihat oleh pengguna.
Bug yang dijelaskan ini sesuai dengan kerentanan yang sudah diungkap secara publik pada 22 Agustus oleh peneliti independen TestMachine, dan Ledger telah menutup kerentanan tersebut dalam versi 1.22.2, bukan 1.22.3 seperti yang disebutkan Yishi.
Ledger sendiri telah mengonfirmasi masalah ini dalam LSB 023: beberapa aplikasi pada Ledger Secure SDK dapat menerima perintah baru selama proses konfirmasi di layar, sehingga parameter yang ditampilkan berbeda dari transaksi yang benar-benar ditandatangani. Masalah ini terletak pada pengelolaan input-output dalam SDK, bukan pada firmware perangkat. Versi SDK 26.6.1 dirilis pada 21 Agustus; pengguna perlu memperbarui aplikasi mereka melalui Ledger Live.
Ledger belum mencatat adanya kasus eksploitasi kerentanan ini di dunia nyata.
