Usuários do Zilliqa no Ledger: este é uma vulnerabilidade grave que pode levar à perda direta da chave privada. A equipe oficial do Zilliqa revelou que seu aplicativo para Ledger possui uma vulnerabilidade grave na geração de números aleatórios, afetando assinaturas Schnorr para transações nativas não-EVM. Atacantes podem, com base apenas em dados públicos na cadeia, reverter a chave privada do signatário a partir de números aleatórios enviesados. O critério de identificação é claro: qualquer conta que tenha assinado e transmitido cerca de cinco ou mais transações nativas por meio do aplicativo Zilliqa para Ledger deve ser considerada como tendo sua chave privada comprometida. Como as assinaturas permanecem permanentemente na cadeia, atualizar o aplicativo posteriormente não resolve o problema — as chaves privadas afetadas devem ser desativadas definitivamente. Transações EVM e ferramentas de desenvolvimento como zilliqa-js não são afetadas. A causa técnica é um erro no aplicativo ao copiar o número aleatório: ele seleciona incorretamente 32 bytes, perdendo 8 bytes de entropia, resultando em 64 bits superiores fixos como zero em cada número aleatório. Com cinco ou mais assinaturas afetadas, atacantes conseguem calcular a chave privada em segundos com hardware comum. Pior ainda: a equipe oficial já observou疑似 exploração ativa em 19 de julho e confirmou a causa raiz em 21 de julho. Atualmente, o Zilliqa suspendeu transações nativas para conter os danos e está trabalhando com a Ledger para preparar uma versão corrigida do aplicativo. O aviso mais crítico: usuários afetados não devem mover seus ativos agora — ao tentar transferir, os atacantes podem agir primeiro e roubar os fundos. Aguarde até que a equipe oficial divulgue um plano coordenado de resposta antes de realizar qualquer ação. Carteiras de hardware não são cofres absolutamente seguros — este problema surgiu exatamente no aplicativo oficial.