ثغرة أمنية كانت هادئة منذ سبع سنوات في تطبيق محفظة Zilliqa المادية، تحولت فجأة من خاملة إلى مدمرة. هذه الثغرة، الموجودة في كل إصدار من التطبيق منذ إطلاقه عام 2019، سمحت للمهاجمين باستعادة المفاتيح الخاصة للمستخدمين من بيانات متاحة للعامة على السلسلة.
تم اكتشاف استغلال نشط على Zilliqa في 19 يوليو 2026. بعد يومين، عزل الفريق السبب الجذري وعلق فورًا جميع معاملات ZIL الأصلية.
ما الذي خطأ، ولכמה长时间
توجد الثغرة في كيفية توليد تطبيق Ledger للـ nonces لتوقيعات EC-Schnorr أثناء معاملات ZIL الأصلية. كانت الـ 64 بت الأهم من الـ nonce المؤقت ثابتة عند الصفر، نتيجة لسوء معالجة نسخة بحجم 32 بايت من مخزن عشوائي بحجم 40 بايت.
هذا الجزء من القابلية للتنبؤ هو حكم بالإعدام على الأمان التشفيري. يمكن لمهاجم لديه وصول إلى خمسة توقيعات متأثرة أو أكثر، والتي تكون جميعها مرئية على السلسلة لأي شخص يهتم بالنظر، استخدام تقنية تُسمى تقليل الشبكة لعكس العملية الرياضية لاستخراج المفتاح الخاص للمستخدم.
هذا ليس عيبًا في سلسلة كتل Zilliqa نفسها، ولا في أمان الأجهزة الأساسي لـ Ledger. بل هو خطأ في التطبيق المساعد، وهو طبقة البرمجيات التي تربط جهاز Ledger بشبكة Zilliqa. تبقى SDKs الخاصة بـ Zilliqa، بما في ذلك zilliqa-js وgozilliqa-sdk وpyzil، غير متأثرة تمامًا. المعاملات المتوافقة مع EVM التي تُعالج عبر Ledger أيضًا آمنة، نظرًا لأنها تستخدم إجراء توقيع مختلف.
الانعكاسات حتى الآن
أوبتيب، أحد أكبر منصات التبادل الرقمي في كوريا الجنوبية، صنفت ZIL كأصل تحذيري وأوقفت الإيداعات والسحوبات. ووفقًا للتقارير، تراقب منصات أخرى الوضع.
كان رد فعل Zilliqa مزيجًا من إدارة الأزمة والحد من الأضرار. وقد أكد الفريق أن السبب الجذري كان محدودًا في 21 يوليو، وهم الآن يتعاونون مباشرة مع Ledger لتطوير حل.
كانت الشركة واضحة في إرشاداتها للمستخدمين المتأثرين. يجب التخلي عن المفاتيح المخترقة بالكامل، وليس نقلها. إذا كان المهاجم قد حصل بالفعل على مفتاحك الخاص، فيمكنه التقدم على أي نقل تحاول إجراءه. الطريق الموصى به هو إنشاء مفاتيح جديدة بالكامل عبر طريقة آمنة والتعامل مع المفاتيح القديمة على أنها محروقة بشكل دائم.
ما يجب على المستثمرين مراقبته
القلق الفوري لحاملي ZIL هو ما إذا كان تعليق المعاملات الأصلية سيكون قصيرًا أم مطولًا. يتطلب الإصلاح تنسيقًا بين Zilliqa وLedger. حتى إصدار تطبيق مُصلح ومُراجَع وموثوق، من المرجح أن تظل المعاملات الأصلية مجمدة. مع توقف Upbit بالفعل عن الإيداع والسحب، فإن أحجام التداول لـ ZIL تتعرض لضغط من عدة اتجاهات في آنٍ واحد.
لأي شخص يحمل ZIL على جهاز Ledger، فإن الأولوية واضحة: لا تحاول نقل الأموال باستخدام التطبيق المخترق. انتظر الإرشادات الرسمية من Zilliqa بشأن عملية تقاعد المفتاح.