La aplicación Zilliqa Ledger presenta una vulnerabilidad en la generación de números aleatorios que afecta la seguridad de las transacciones nativas

Zilliqa ha emitido un comunicado confirmando que su aplicación Ledger tiene una grave vulnerabilidad que afecta la generación de firmas Schnorr para las transacciones nativas de Zilliqa. Esta vulnerabilidad afecta a todas las versiones lanzadas entre 2019 y 2026, y se detectaron signos de posible explotación activa en la cadena el 19 de julio, confirmándose la causa raíz el 21 de julio. La vulnerabilidad permite predecir el número aleatorio temporal (nonce) utilizado al firmar, lo que permite a los atacantes recuperar la clave privada del firmante a través de datos públicos en la cadena. Zilliqa advierte a los usuarios que hayan utilizado dispositivos Ledger para firmar transacciones nativas que deben esperar instrucciones oficiales y no tomar acciones independientes. La vulnerabilidad se origina en el programa de firma que copió un rango de bytes incorrecto al escribir el número aleatorio, lo que resultó en que el número aleatorio generado tuviera hasta 64 bits fijos en cero, lo que provoca una falta de entropía. Los atacantes pueden recuperar la clave privada en segundos utilizando cinco o más firmas afectadas. Las transacciones afectadas ya están registradas de forma permanente en la cadena, y actualizar la aplicación de firma no puede revertir este riesgo; las claves privadas relacionadas deben ser desechadas. Actualmente, las transacciones nativas han sido suspendidas para evitar más pérdidas, y se está confirmando una solución. Las transacciones EVM y los SDK como zilliqa-js, gozilliqa-sdk y pyzil no se ven afectados.