ME Haberleri'ne göre, 22 Temmuz (UTC+8) tarihinde Zilliqa, Ledger uygulamasında yer alan ciddi bir açığı açıkladı ve bu açık, yerel (EVM olmayan) Zilliqa işlemlerinin Schnorr imzası üretimi üzerinde etki yaratıyor. Bu güvenlik açığı, 2019 ile 2026 yılları arasında yayınlanan tüm Zilliqa Ledger uygulama sürümlerinde mevcut. 19 Temmuz'da zincir üzerinde potansiyel aktif istismar işaretleri tespit edildi ve 21 Temmuz'da kök neden doğrulandı. Bu açık, imza sırasında kullanılan geçici rastgele sayı (nonce) tahmin edilebilir hale gelmesine neden oluyor; saldırganlar, zincir üzerindeki açık verilerle imzalayanın özel anahtarını geri alabiliyor. Zilliqa, yerel Zilliqa işlemleri için Ledger cihazını kullanan kullanıcıların resmi talimatları beklemesini ve herhangi bir bağımsız eylemde bulunmamasını öneriyor. Kök neden, rastgele sayının tampona yazılırken yanlış bayt aralığının kopyalanmasıdır; bu da her oluşturulan rastgele sayının en yüksek 64 bitinin sıfır kalmasına neden olur ve entropi ciddi şekilde düşer. 5 veya daha fazla etkilenen imza kullanılarak, saldırganlar lattice reduction yöntemiyle özel anahtarı saniyeler içinde geri alabilir. Etkilenen işlemler zincirde kalıcı olarak kaydedildiği için, imza uygulamasının güncellenmesi bu riski tersine çeviremez; ilgili özel anahtarlar terk edilmelidir. Şu anda ekstra kayıpları önlemek için yerel işlemler durduruldu ve koordine edilmiş bir düzeltme çözümü son aşamada onaylanıyor. EVM işlemler ve zilliqa-js, gozilliqa-sdk, pyzil gibi SDK'lar etkilenmiyor. (Kaynak: Foresight News)
Zilliqa Ledger Uygulaması Güvenlik Açığı, Yerel İşlem İmzalarını Maruz Bırakıyor
KuCoinFlashPaylaş
Özet
Zilliqa, Ledger uygulamasında yer alan ve yerel (EVM dışı) işlemler için dijital imzaları etkileyen kritik bir hata olduğunu doğruladı. 2019'dan beri var olan bu zafiyet, Schnorr imzalarında nonce'leri tahmin etmeyi mümkün kılıyor çünkü bir tampon kopyalama hatası nedeniyle; bu hata, 64 bitlik üst kısmı sıfırlayarak entropiyi azaltır ve sadece beş işlem sonrası özel anahtarın geri kazanılmasına izin verir. Düzeltme tamamlanana kadar yerel işlemler durdurulmuştur. EVM işlemler ve SDK'lar etkilenmemiştir.
Kaynak:Orijinalini göster
Yasal Uyarı: Bu sayfadaki bilgiler üçüncü şahıslardan alınmış olabilir ve KuCoin'in görüşlerini veya fikirlerini yansıtmayabilir. Bu içerik, herhangi bir beyan veya garanti olmaksızın yalnızca genel bilgilendirme amacıyla sağlanmıştır ve finansal veya yatırım tavsiyesi olarak yorumlanamaz. KuCoin, herhangi bir hata veya eksiklikten veya bu bilgilerin kullanımından kaynaklanan sonuçtan sorumlu değildir.
Dijital varlıklara yapılan yatırımlar riskli olabilir. Lütfen bir ürünün risklerini ve risk toleransınızı kendi finansal koşullarınıza göre dikkatlice değerlendirin. Daha fazla bilgi için lütfen Kullanım Koşullarımıza ve Risk Açıklamamıza bakınız.