Vulnerabilidade na aplicação Zilliqa Ledger afeta a segurança das transações nativas

Zilliqa anunciou que sua aplicação Ledger possui uma vulnerabilidade grave que afeta a geração de assinaturas Schnorr para transações nativas de Zilliqa. Essa vulnerabilidade impacta todas as versões lançadas entre 2019 e 2026, com indícios de exploração ativa detectados em 19 de julho e a causa raiz confirmada em 21 de julho. A falha permite que o número aleatório temporário (nonce) usado na assinatura seja previsível, possibilitando que atacantes recuperem a chave privada do signatário através de dados públicos na blockchain. Zilliqa alerta os usuários que assinaram transações nativas usando dispositivos Ledger a aguardarem orientações oficiais e a não tomarem ações independentes. A vulnerabilidade decorre do fato de que o programa de assinatura copiou um intervalo de bytes incorreto ao escrever o número aleatório, resultando em números aleatórios fixos em até 64 bits como zero, o que gera entropia insuficiente. Atacantes podem recuperar a chave privada em segundos utilizando cinco ou mais assinaturas afetadas. As transações afetadas já estão registradas permanentemente na blockchain, e a atualização da aplicação de assinatura não pode reverter esse risco; as chaves privadas relacionadas devem ser descartadas. Atualmente, as transações nativas foram suspensas para evitar mais perdas, e uma solução está sendo confirmada. Transações EVM e SDKs como zilliqa-js, gozilliqa-sdk e pyzil não são afetados.

Aviso: Este conteúdo é fornecido apenas para fins de divulgação e informação geral da marca e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, eventos online ou informações relacionadas mencionados neste documento não devem ser considerados uma recomendação, solicitação ou convite para comprar, vender, negociar ou de qualquer outra forma realizar transações com criptoativos ou usar quaisquer serviços. Criptoativos são altamente voláteis, e sua negociação pode resultar em perdas. Os serviços e eventos online da WEEX podem não estar disponíveis em todas as regiões e estão sujeitos às leis, regulamentos e requisitos de elegibilidade aplicáveis. É sua responsabilidade garantir que o uso dos serviços da WEEX esteja em conformidade com as leis locais e avaliar cuidadosamente os riscos antes de participar de quaisquer atividades relacionadas a criptomoedas.