وجود ثغرة في تطبيق Zilliqa Ledger تؤثر على أمان المعاملات الأصلية

أصدرت Zilliqa إعلانًا تؤكد فيه وجود ثغرة خطيرة في تطبيق Ledger الخاص بها، تؤثر على توليد توقيع Schnorr للمعاملات الأصلية لـ Zilliqa. تؤثر هذه الثغرة على جميع الإصدارات التي تم إصدارها بين عامي 2019 و2026، حيث تم اكتشاف علامات على استغلال نشط محتمل على السلسلة في 19 يوليو، وتم تأكيد السبب الجذري في 21 يوليو. تؤدي الثغرة إلى إمكانية التنبؤ بالعدد العشوائي المؤقت (nonce) المستخدم أثناء التوقيع، مما يسمح للمهاجمين باستعادة المفتاح الخاص للموّقع من خلال البيانات العامة على السلسلة. تحذر Zilliqa المستخدمين الذين قاموا بتوقيع معاملات أصلية باستخدام أجهزة Ledger من اتخاذ أي إجراءات مستقلة، وينبغي عليهم الانتظار للحصول على إرشادات رسمية. تنشأ الثغرة من قيام برنامج التوقيع بنسخ نطاق بايت خاطئ عند كتابة العدد العشوائي، مما يؤدي إلى أن يكون العدد العشوائي الناتج ثابتًا على 64 بت كحد أقصى، مما يؤدي إلى نقص في قيمة الإنتروبيا. يمكن للمهاجمين استعادة المفتاح الخاص في غضون ثوانٍ باستخدام 5 توقيعات متأثرة أو أكثر. تم تسجيل المعاملات المتأثرة بشكل دائم على السلسلة، ولا يمكن تحديث تطبيق التوقيع لعكس هذه المخاطر، ويجب إلغاء المفاتيح الخاصة ذات الصلة. تم تعليق المعاملات الأصلية حاليًا لمنع المزيد من الخسائر، ويتم تأكيد خطة الإصلاح. معاملات EVM و zilliqa-js و gozilliqa-sdk و pyzil وغيرها من SDKs غير متأثرة.