Usuarios de Zilliqa en Ledger, presten atención: este es una vulnerabilidad grave que puede provocar la pérdida directa de la clave privada. La oficialidad de Zilliqa ha revelado que su aplicación para Ledger presenta una vulnerabilidad grave en la generación de números aleatorios, afectando las firmas Schnorr de transacciones nativas no EVM. Los atacantes pueden recuperar la clave privada del firmante utilizando únicamente datos públicos en la cadena, a partir de números aleatorios sesgados. El criterio de evaluación es claro: cualquier cuenta que haya firmado y difundido aproximadamente cinco o más transacciones nativas mediante la aplicación Ledger de Zilliqa debe considerarse como clave privada comprometida. Dado que las firmas permanecen permanentemente en la cadena, actualizar la aplicación posteriormente no puede recuperarlas; las claves privadas afectadas deben desactivarse por completo. Las transacciones EVM y herramientas de desarrollo como zilliqa-js no se ven afectadas. La causa técnica radica en que la aplicación copió incorrectamente 32 bytes de número aleatorio, perdiendo 8 bytes de entropía, lo que hace que los 64 bits más altos de cada número aleatorio se fijen en cero. Con cinco o más firmas afectadas, un atacante puede calcular la clave privada en segundos con hardware común. Peor aún, la oficialidad observó actividad sospechosa de explotación activa el 19 de julio y confirmó la causa raíz el 21. Actualmente, Zilliqa ha suspendido las transacciones nativas para contener el daño y está trabajando con Ledger para preparar una versión corregida de la aplicación. El recordatorio más crítico: los usuarios afectados no deben transferir sus activos por su cuenta ahora —al hacerlo, los atacantes podrían interceptarlos primero. Espere a que la oficialidad publique un plan coordinado de respuesta antes de actuar. Los monederos hardware no son cajas fuertes absolutas; este problema surgió precisamente en la aplicación oficial.