जिलिका लेजर ऐप में वल्नरेबिलिटी के कारण नेटिव लेनदेन साइनेचर्स का खुलासा हो गया

ME News के अनुसार, 22 जुलाई (UTC+8) को, Zilliqa ने एक गंभीर विफलता का खुलासा किया जो उसके Ledger ऐप में मौजूद है और मूल (EVM नहीं) Zilliqa लेनदेन के Schnorr हस्ताक्षर उत्पन्न करने को प्रभावित करती है। यह विफलता 2019 से 2026 के बीच जारी सभी संस्करणों के Zilliqa Ledger ऐप में मौजूद है; 19 जुलाई को चेन पर सक्रिय दुरुपयोग के संकेत मिले, और 21 जुलाई को मूल कारण पुष्टि किया गया। इस विफलता के कारण, हस्ताक्षर बनाते समय उपयोग किए जाने वाले अस्थायी यादृच्छिक संख्या (nonce) को पूर्वानुमानित किया जा सकता है, जिससे हमलावर केवल चेन पर उपलब्ध सार्वजनिक डेटा का उपयोग करके हस्ताक्षरकर्ता की निजी कुंजी पुनः प्राप्त कर सकता है। Zilliqa ने सलाह दी है कि जिन उपयोगकर्ताओं ने Ledger उपकरण का उपयोग करके मूल Zilliqa लेनदेन हस्ताक्षरित किए हैं, वे आधिकारिक निर्देशों का प्रतीक्षा करें और कोई स्वतंत्र कार्रवाई न करें। विफलता का मूल कारण यह है कि हस्ताक्षर प्रोग्राम यादृच्छिक संख्या को बफर में लिखते समय गलत बाइट सीमा की प्रतिलिपि बना रहा है, जिससे प्रत्येक उत्पन्न यादृच्छिक संख्या के उच्चतम 64 बिट सदैव शून्य होते हैं, जिससे एंट्रॉपी गंभीरता से कम हो जाती है। 5 या अधिक प्रभावित हस्ताक्षरों का उपयोग करके, हमलावर lattice reduction के माध्यम से कुछ सेकंड में निजी कुंजी पुनः प्राप्त कर सकता है। चूंकि प्रभावित लेनदेन स्थायी रूप से चेन पर रिकॉर्ड हो चुके हैं, हस्ताक्षर ऐप को अपडेट करने से इस जोखिम को पलटा नहीं जा सकता, और संबंधित निजी कुंजियों को त्यागना होगा। मूल लेनदेनों को प्रगति में हुए अतिरिक्त हानि से बचने के लिए स्थगित कर दिया गया है, और समन्वयित समाधान की पुष्टि प्रक्रिया में है। EVM लेनदेन, zilliqa-js, gozilliqa-sdk, pyzil, आदि SDK प्रभावित नहीं हैं। (स्रोत: Foresight News)