Уязвимость генерации случайных чисел в приложении Zilliqa Ledger угрожает безопасности нативных транзакций

Zilliqa выпустила заявление, подтвердившее наличие серьезной уязвимости в своем приложении Ledger, которая затрагивает генерацию подписей Schnorr для нативных транзакций Zilliqa. Уязвимость затрагивает все версии, выпущенные с 2019 по 2026 год, и 19 июля были обнаружены признаки активного использования на блокчейне, а 21 июля была подтверждена причина. Уязвимость позволяет предсказать временное случайное число (nonce), используемое при подписании, что позволяет злоумышленникам восстановить закрытый ключ подписанта, используя открытые данные на блокчейне. Zilliqa предупреждает пользователей, которые использовали устройства Ledger для подписания нативных транзакций, что им следует дождаться официальных указаний и не предпринимать самостоятельных действий. Уязвимость возникла из-за того, что программа подписи скопировала неправильный диапазон байтов при записи случайного числа, что привело к тому, что сгенерированное случайное число фиксировалось на уровне 64 бит, что недостаточно для обеспечения энтропии. Злоумышленники могут восстановить закрытый ключ за считанные секунды, используя 5 или более затронутых подписей. Затронутые транзакции были навсегда записаны в блокчейне, и обновление приложения для подписания не может устранить этот риск; соответствующие закрытые ключи должны быть аннулированы. В настоящее время нативные транзакции приостановлены, чтобы предотвратить дальнейшие потери, и в настоящее время подтверждается план исправления. Транзакции EVM и SDK, такие как zilliqa-js, gozilliqa-sdk, pyzil и другие, не затронуты.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.