ملاحظة لمستخدمي Zilliqa على Ledger: هذا ثغرة خطيرة تسمح بفقدان المفتاح الخاص مباشرةً. كشفت Zilliqa رسميًا عن ثغرة خطيرة في تطبيق Ledger الخاص بها تؤثر على توقيعات Schnorr للمعاملات الأصلية غير EVM بسبب عيب في توليد الأرقام العشوائية. يمكن للمهاجمين استنتاج المفتاح الخاص للموقّع باستخدام بيانات السلسلة العامة فقط، من خلال استخراج الأرقام العشوائية المُشوّهة. المعيار واضح: أي حساب قام بالتوقيع على خمس معاملات أصلية أو أكثر عبر تطبيق Zilliqa على Ledger يجب اعتبار مفتاحه الخاص مُسربًا. وبما أن التوقيعات تبقى مسجلة إلى الأبد على السلسلة، فإن تحديث التطبيق لاحقًا لن ينقذ المفاتيح المتأثرة — يجب إيقافها تمامًا. المعاملات EVM وأدوات التطوير مثل zilliqa-js غير متأثرة. السبب الفني هو أن التطبيق نسخ 32 بايت من العشوائية لكنه أخذ 8 بايت فقط، مما أدى إلى فقدان 8 بايت من الإنتروبيا، مما جعل أعلى 64 بت من كل رقم عشوائي ثابتة على الصفر — يمكن للمهاجمين باستخدام معدات عادية حساب المفتاح الخاص في ثوانٍ قليلة بمجرد امتلاكهم خمسة توقيعات متأثرة أو أكثر. والأمر أسوأ من ذلك: لاحظت Zilliqa في 19 يوليو تلميحات لاستغال نشط، وتم التأكد من السبب الجذري في 21 يوليو. حاليًا، أوقفت Zilliqa المعاملات الأصلية لمنع الخسائر، وهي تعمل مع Ledger لإصدار نسخة مصححة من التطبيق. أبرز تحذير: لا تحاول نقل أصولك بنفسك الآن — عند أول حركة منك، قد يسبقك المهاجمون ويسرقون أصولك. انتظر حتى تُنشر خطة تنسيقية رسمية قبل اتخاذ أي إجراء. المحفظات المادية ليست خزنة آمنة تمامًا — هذه المشكلة نشأت بالضبط من تطبيق الشركة الرسمي نفسه.