Yedi yıl boyunca fark edilmeyen bir donanımsal cüzdan zafiyeti, saldırganların 19 Temmuz'da bu hataları kullanmaya başlamasıyla Zilliqa'nın tüm yerel işlemlerini askıya almasını zorunlu kıldı. orijinal rapora göre, Zilliqa Ledger uygulamasındaki nonce üretme hatası, yaklaşık beş zincir içi işlem sonrası özel anahtarların kamuya açık imzalardan geri kazanılmasına izin veriyordu. 2019 ile 2026 arasında yayınlanan tüm sürümler etkilenmişti.
Açıklama, zaten keskin bir borsa tepkisini tetikledi. Güney Kore'nin Upbit platformu, ZIL'i hem KRW hem de BTC işlem çiftlerinde dikkat edilmesi gereken bir varlık olarak tanımladı, yatırma ve çekimleri askıya aldı ve sorun hızlı bir şekilde giderilmezse işlem desteği tamamen sonlandırılabilir uyarısında bulundu. Bu adım, Zilliqa'nın geliştirme ekibine hemen baskı artırıyor; ekip, hataları düzeltmenin yanı sıra en önemli borsa listelemelerinden birini kaybetme endişesiyle de uğraşmak zorunda.
Hata, Güvenliği Nasıl Tehlikeye Atıyor
Zayıflık, donanım cüzdan tasarımı ile Zilliqa’nın nonce uygulamasının kesişiminde yer alıyor. Bir kez kullanılmak üzere tasarlanmış bir sayı olan nonce, her işlem imzasının benzersiz olmasını sağlamayı amaçlıyor. Nonceler yanlış üretildiğinde, aynı özel anahtardan birden fazla imza toplayan bir gözlemci, anahtarın kendisini yeniden oluşturabilir. Bu sorun, kullanıcı cihazında herhangi bir kötü amaçlı yazılım gerektirmediği için özellikle tehlikelidir; bir saldırganın yalnızca yaklaşık beş yerel transferden gelen kamuoyuna duyurulan imzaları görmesi yeterlidir. Saldırı zaman çizelgesi, kamuoyuna duyurudan önce aktif bir saldırıya başlandığını gösteriyor ve ağaç tepki verebilmeden önce fonların alınmış olma olasılığını ortaya çıkarıyor.
Zilliqa, hemen tüm yerel işlemlerini durdurdu. Ağındaki EVM tabanlı aktiviteler etkilenmedi, ancak Ledger uygulamasını kullanan birçok uzun vadeli sahibi için, compromize edilmiş anahtarları emekli etmek artık bir zorunluluk haline geldi. Bu süreç—yeni cüzdanlar oluşturmak ve varlıkları taşımak—kullanıcılar dikkatsiz davranırsa kendi risklerini taşır. Bu arada, olay, Ethereum veya Bitcoin'e kıyasla güvenlik denetimlerinin daha az olduğu bilinmeyen zincirlerde donanımsal cüzdan entegrasyonlarına olan güveni uzun bir gölge altında bırakıyor.
Upbit’in Uyarı Bayrağı ve Listeden Kaldırma Tehdidi
Upbit’in uyarı amaçlı varlık tanımı, tam bir listeden kaldırma değildir, ancak borsanın risk yönetimi ekibinin kullanıcı fonları için ciddi bir tehdit gördüğünü açıkça gösteren bir kamuya duyurudur. Koreli borsalar, düzenleyici yönergeler ve önceki olaylar sonrasında hızlı harekete geçmeme nedeniyle eleştirilere maruz kaldıkça, bu tür işaretlemeleri giderek daha agresif şekilde kullanmaktadır. Bu eylem ile borsaların sorumluluğu artırma çabası arasındaki paralellik göz ardı edilemez—kripto altyapı üzerindeki düzenleyici baskılar arttıkça, ticaret platformları kiralama katmanı riski getiren varlıklara tolerans göstermemektedir.
ZIL için likidite açısından, Upbit gibi büyük bir platformda yatırma ve çekimlerin askıya alınması, Koreli trader'lar için mevcut çıkış yollarını daraltır. Token şu anda listelenmeye devam etse de, uyarı ikili bir sonuç yaratır: ya Zilliqa hataları düzeltir ve Upbit'in incelemesini karşılar, ya da alım satım sona erer. Geçici dönemde, piyasa katılımcıları diğer borsaların Upbit'in örneğini takip edip etmeyeceğini izliyor; bu da tokenin likidite daralmasını artırabilir.
Çözülmeyenler
Hasarın boyutu hâlâ belirsiz. Zilliqa ve Upbit, istismar penceresi sırasında kaç özel anahtarın gerçekten ele geçirildiğini ya da toplam kaybın dolar cinsinden ne kadar olabileceğini açıklamadı. Ayrıca, bu hata yedi yıl boyunca Ledger uygulamasının tüm sürümlerinde mevcut olmuş olmasının, zincirin genel güvenlik inceleme süreci ve benzer nonce üretme zayıflıklarını içerebilecek diğer entegre uygulamaların sayısı hakkında sorular doğurduğu görülüyor. Geliştirici güveni metrikleri, haftalık geliştirici aktivite sıralamaları gibi çabalarla izlendiği gibi, zincir sağlığı için bir ölçüt haline geldi ve bu tür olaylar bu güveni hızlıca zedeleyebilir.
Donanım cüzdan kullanıcıları için bu uyarı, bir Ledger cihazının riski ortadan kaldırmadığını, sadece taşıdığını hatırlatır. İşlemleri imzalayan bir uygulamadaki bir zafiyet, anahtar cümlenin compromisine eşit derecede yıkıcı olabilir. Zilliqa olayı, özellikle böyle hataların fark edilmeden kalabileceği daha küçük geliştirici topluluklarına sahip diğer zincirler için Ledger entegrasyonlarının yeniden denetlenmesine yol açabilir. Bu denetimler tamamlanana kadar, piyasa, benzer zafiyetlerin başka yerlerde de gizli olma olasılığını fiyatlandırmak zorunda kalacak.