7年Ledger漏洞让攻击者在几秒钟内从五个签名重建私钥

Zilliqa在发现大约五个受影响的签名可能提供足够的信息来重建同一私钥后，暂停了本地交易，造成了一个普通转账无法安全解决的恢复问题。

根据网络的安全披露，这一漏洞仅限于通过Zilliqa Ledger应用生成的本地非EVM交易的Schnorr签名。Zilliqa表示，2019年至2026年间发布的每个版本的应用程序都包含该缺陷。

Zilliqa表示，它在7月19日检测到与主动利用一致的链上活动，并在7月21日确认了根本原因。披露中没有识别受影响的地址或量化任何损失。

公共签名可能暴露私钥
该缺陷发生在Ledger应用生成每个本地Zilliqa签名所需的临时随机数时。签名例程生成了40字节的随机数，并将结果按secp256k1曲线的阶数取模，但随后将错误的32字节范围复制到随机数缓冲区中。

该操作保留了八个零填充字节，同时丢弃了八个实际熵字节，将随机数的最高64位固定为零，并使每个值低于2^192^。

Zilliqa表示，攻击者可以结合大约五个由同一私钥生成的受影响签名，并使用格约简技术在普通硬件上在几秒钟内重建该密钥。

因此，任何通过Zilliqa Ledger应用广播了大约五个或更多本地交易的账户都应被视为已被攻破。减弱的签名在链上永久可用，因此更新应用程序无法删除已暴露的信息。受影响的私钥最终必须被淘汰。

Zilliqa感谢KuCoin报告了这一事件并帮助确认了漏洞。根据披露，该交易所使用公开可用的签名恢复了受影响的私钥，并协助追踪问题到应用程序的随机数生成代码。

正常的救援转账可能会被抢先
在本地交易恢复后，将资产转移到新地址还存在另一个风险。已经重建私钥的攻击者也可以签署有效交易，并试图抢先于合法持有者的转账。

这使得Zilliqa在重新开放本地活动之前需要平衡两个要求：允许合法用户迁移他们的资产，同时防止具有相同签名权限的攻击者赢得交易竞赛。

网络表示，它正在最终确定一个协调的补救计划，并建议任何使用Ledger设备签署本地Zilliqa交易的人在采取行动之前等待官方指示。

Zilliqa在识别出漏洞后暂停了本地非EVM交易作为保护措施。该项目表示，此暂停阻止了受影响账户的进一步损失。

在发布时，Zilliqa尚未宣布重新开放日期或通过其官方渠道发布最终迁移程序。

正在与Ledger协调准备一个修正版本的Ledger应用程序，该版本将恢复全宽随机数生成。该更新可以防止未来的签名暴露相同的信息，但无法保护已在链上记录的签名所泄露的密钥。Zilliqa表示，发布细节将单独宣布。

EVM和官方SDK签名路径未受影响
披露并未描述Ledger硬件的一般性妥协。Zilliqa将漏洞归因于其Ledger应用程序的本地交易签名实现。

Zilliqa表示，EVM交易未受影响。其官方zilliqa-js、gozilliqa-sdk和pyzil软件开发工具包使用的随机数生成路径也不在披露的漏洞范围内。