أخبار ME، في 22 يوليو (UTC+8)، نشرت Zilliqa منشورًا كشفت فيه عن وجود ثغرة أمنية خطيرة في تطبيق Ledger، تؤثر على إنشاء توقيعات Schnorr للمعاملات الأصلية (غير EVM) لـ Zilliqa. توجد هذه الثغرة في جميع إصدارات تطبيق Ledger لـ Zilliqa الصادرة بين عامي 2019 و2026، وتم اكتشاف علامات محتملة لاستغلال نشط على السلسلة في 19 يوليو، وتم التأكد من السبب الجذري في 21 يوليو. تؤدي هذه الثغرة إلى إمكانية التنبؤ بالرقم العشوائي المؤقت (nonce) المستخدم أثناء التوقيع، مما يسمح للمهاجمين باستعادة المفتاح الخاص للموقّع باستخدام بيانات عامة متاحة على السلسلة فقط. وحذرت Zilliqa المستخدمين الذين استخدموا أجهزة Ledger للتوقيع على معاملات Zilliqa الأصلية من الانتظار حتى صدور إرشادات رسمية، وعدم اتخاذ أي إجراءات مستقلة في الوقت الحالي. يكمن السبب الجذري في أن برنامج التوقيع نسخ نطاقًا غير صحيح من البايتات عند كتابة الرقم العشوائي في المخزن المؤقت، مما أدى إلى ثبات أعلى 64 بت من كل رقم عشوائي مُنشأ على الصفر، مما يسبب نقصًا شديدًا في الإنتروبيا. باستخدام خمسة توقيعات متأثرة أو أكثر، يمكن للمهاجمين استعادة المفتاح الخاص خلال ثوانٍ قليلة باستخدام خفض الشبكة (lattice reduction). وبما أن المعاملات المتأثرة سُجّلت بشكل دائم على السلسلة، فإن تحديث تطبيق التوقيع لا يمكنه عكس هذا الخطر، ويجب التخلي عن المفاتيح الخاصة ذات الصلة. حاليًا، تم تعليق المعاملات الأصلية لمنع خسائر إضافية، ويتم تأكيد الحلول التنسيقية للإصلاح. المعاملات EVM وSDKs مثل zilliqa-js وgozilliqa-sdk وpyzil غير متأثرة. (المصدر: Foresight News)
ثغرة في تطبيق Zilliqa Ledger تُعرّض توقيعات المعاملات الأصلية للخطر
KuCoinFlashمشاركة
ملخص
أكدت Zilliqa على وجود ثغرة حرجة في تطبيق Ledger الخاص بها تؤثر على التوقيعات الرقمية للمعاملات الأصلية (غير EVM). هذه الثغرة، التي كانت موجودة منذ عام 2019، تسمح للمهاجمين بتوقع قيم الـ nonce في توقيعات Schnorr بسبب خطأ في نسخ الذاكرة المؤقتة. تؤدي هذه الثغرة إلى تصفير الـ 64 بت العليا، مما يقلل من الإنتروبيا ويسهل استعادة المفتاح الخاص بعد خمس معاملات فقط. تم إيقاف المعاملات الأصلية مؤقتًا بينما يتم إعداد الإصلاح النهائي. المعاملات وSDKs الخاصة بـ EVM غير متأثرة.
المصدر:عرض النسخة الأصلية
إخلاء المسؤولية: قد تكون المعلومات الواردة في هذه الصفحة قد حصلت عليها من أطراف ثالثة ولا تعكس بالضرورة وجهات نظر أو آراء KuCoin. يُقدّم هذا المحتوى لأغراض إعلامية عامة فقط ، دون أي تمثيل أو ضمان من أي نوع ، ولا يجوز تفسيره على أنه مشورة مالية أو استثمارية. لن تكون KuCoin مسؤولة عن أي أخطاء أو سهو ، أو عن أي نتائج ناتجة عن استخدام هذه المعلومات.
يمكن أن تكون الاستثمارات في الأصول الرقمية محفوفة بالمخاطر. يرجى تقييم مخاطر المنتج بعناية وتحملك للمخاطر بناء على ظروفك المالية الخاصة. لمزيد من المعلومات، يرجى الرجوع إلى شروط الاستخدام واخلاء المسؤولية.