Ledger SDK 默认泄露签名元数据

据 Woofun AI 消息， SDK 被曝默认配置下会发送包含目标地址及设备详细信息的签名元数据，这一底层代码行为直接导致用户隐私数据在交易过程中被外传。

该安全漏洞的核心在于报告代码中嵌入了敏感信息的传输逻辑。Woofun AI 整理数据显示，受影响的 SDK 版本在生成签名时，不仅记录了交易意图，还附带了硬件设备的指纹特征。

这一发现迅速引发了生态内的响应， 明确表示已将涉及该漏洞的版本从实际使用环境中彻底撤出，以阻断潜在的数据泄露路径。值得注意的是，此前 Ledger 曾因 CryptoBilis-Sold 钱包植入模块通过 LTE 传输恢复短语而陷入争议，加之此前遭受黑客攻击导致私钥信任危机，此次 SDK 元数据泄露事件进一步加剧了市场对其安全架构的质疑。

尽管 等主流交易所未直接卷入此次技术漏洞，但作为行业基础设施提供商，Ledger 的安全表现直接影响着包括 和 在内的主流资产持有者的信心。

硬件钱包的安全边界正从物理隔离向软件栈深度延伸。这是继恢复短语传输争议后，Ledger 再次因底层代码透明度问题面临信任考验，行业需重新评估对硬件厂商默认配置的信任模型。