وجود آسیب‌پذیری در برنامه Ledger زیلیقا، امنیت معاملات بومی را تحت تأثیر قرار می‌دهد

زیلیقا اعلام کرد که برنامه Ledger آن دارای آسیب‌پذیری جدی است که بر تولید امضای Schnorr معاملات بومی زیلیقا تأثیر می‌گذارد. این آسیب‌پذیری بر تمام نسخه‌های منتشر شده از سال ۲۰۱۹ تا ۲۰۲۶ تأثیر می‌گذارد و در تاریخ ۱۹ ژوئیه نشانه‌هایی از سوءاستفاده فعال در زنجیره شناسایی شد و در تاریخ ۲۱ ژوئیه علت اصلی تأیید شد. این آسیب‌پذیری باعث می‌شود که عدد تصادفی موقتی (nonce) که در زمان امضا استفاده می‌شود، قابل پیش‌بینی باشد و مهاجم می‌تواند با استفاده از داده‌های عمومی در زنجیره، کلید خصوصی امضاکننده را بازیابی کند. زیلیقا به کاربرانی که از دستگاه Ledger برای امضای معاملات بومی استفاده کرده‌اند، هشدار می‌دهد که باید منتظر راهنمایی‌های رسمی باشند و از اقدام مستقل خودداری کنند. این آسیب‌پذیری ناشی از این است که برنامه امضا هنگام نوشتن عدد تصادفی، محدوده بایت اشتباهی را کپی کرده است که منجر به این می‌شود که عدد تصادفی تولید شده حداکثر ۶۴ بیت به طور ثابت صفر باشد و مقدار انتروپی کافی نداشته باشد. مهاجم می‌تواند با استفاده از ۵ یا بیشتر امضای تحت تأثیر، کلید خصوصی را در عرض چند ثانیه بازیابی کند. معاملات تحت تأثیر به طور دائمی در زنجیره ثبت شده‌اند و به‌روزرسانی برنامه امضا نمی‌تواند این ریسک را معکوس کند و کلیدهای خصوصی مربوطه باید باطل شوند. در حال حاضر معاملات بومی به منظور جلوگیری از خسارات بیشتر متوقف شده‌اند و راه‌حل تعمیر در حال تأیید است. معاملات EVM و SDKهای zilliqa-js، gozilliqa-sdk و pyzil تحت تأثیر قرار نگرفته‌اند.