Увага користувачів Zilliqa на Ledger: це серйозна вразливість, що дозволяє втратити приватний ключ. Офіційний Zilliqa розкрив серйозну вразливість у генерації випадкових чисел у застосунку Ledger, яка впливає на підписи Schnorr для нативних не-EVM транзакцій. Зловмисники, використовуючи лише публічні дані ланцюга, можуть відновити приватний ключ підписувача зі зміщеними випадковими числами. Критерій визначення: будь-який обліковий запис, який підписав і розіслав через застосунок Zilliqa Ledger 5 або більше нативних транзакцій, повинен вважатися компрометованим. Оскільки підписи залишаються назавжди в ланцюгу, оновлення застосунку пізніше не врятує — компрометовані приватні ключі слід повністю вивести з експлуатації. EVM-транзакції та інструменти розробників, такі як zilliqa-js, не страждають. Технічна причина полягає в тому, що застосунок при копіюванні випадкового числа брав неправильні 32 байти, втрачаючи 8 байт ентропії, що призводило до того, що найвищі 64 біти кожного випадкового числа завжди дорівнювали нулю — зловмисники можуть розрахувати приватний ключ за допомогою звичайного обладнання за кілька секунд, маючи 5 або більше пошкоджених підписів. Ще гірше: офіційна команда спостерігала підозрілі спроби експлуатації 19 липня, а 21 липня підтвердила кореневу причину. Наразі Zilliqa призупинила нативні транзакції для зупинки збитків і працює з Ledger над виправленою версією застосунку. Найважливіше застереження: користувачі, які постраждали, НЕ ПОВИННІ самостійно переміщувати свої активи — як тільки ви це зробите, зловмисники можуть першими перехопити ваші кошти. Чекайте на офіційно оголошений координований план дій. Апаратні гаманці не є абсолютно безпечними — ця проблема саме виникла через офіційний застосунок.