زِلیکا لیڈجر ایپ کی کمزوری نیٹیو ٹرانزیکشن سائنیچر کو خطرے میں ڈالتی ہے

ME خبروں کے مطابق، 22 جولائی (UTC+8) کو، زلیکا نے اپنے لیجر ایپ میں ایک سنگین خامی کا اعلان کیا ہے جو اصل (غیر EVM) زلیکا ٹرانزیکشنز کے Schnorr دستخط بنانے کو متاثر کرتی ہے۔ یہ خامی 2019 سے 2026 تک جاری کیے گئے تمام ورژنز کے زلیکا لیجر ایپ میں موجود ہے۔ 19 جولائی کو لینڈ پر ممکنہ فعال استعمال کے نشانات دریافت ہوئے، اور 21 جولائی کو بنیادی وجوہات تصدیق کر لی گئیں۔ اس خامی کی وجہ سے دستخط کے دوران استعمال ہونے والی عارضی رینڈم نمبر (nonce) کو پیش بینی کیا جا سکتا ہے، اور حملہ آور صرف لینڈ پر دستیاب عام ڈیٹا کا استعمال کرکے دستخط کرنے والے کی نجی کلید کو دوبارہ حاصل کر سکتے ہیں۔ زلیکا نے اس بات کی ہدایت کی ہے کہ جن صارفین نے لیجر ڈیوائس کا استعمال کرتے ہوئے اصل زلیکا ٹرانزیکشنز دستخط کیے ہیں، وہ اپنے آپ سے کوئی اقدام نہ کریں اور افسرانی ہدایات کا انتظار کریں۔ خامی کی بنیادی وجہ یہ ہے کہ دستخط پروگرام نے رینڈم نمبر کو بفر میں لکھتے وقت غلط بائٹس کا رینج کاپی کر لیا، جس سے ہر جنریٹڈ رینڈم نمبر کے اعلیٰ 64 بٹس صفر پر فکس رہتے ہیں، جس سے انٹروپی بہت زیادہ کم ہو جاتی ہے۔ 5 یا اس سے زائد متاثرہ دستخطوں کا استعمال کرتے ہوئے، حملہ آور لیٹس ریڈکشن کے ذریعے صرف کچھ سیکنڈز میں نجی کلید دوبارہ حاصل کر سکتا ہے۔ چونکہ متاثرہ ٹرانزیکشنز لینڈ پر دائمی طور پر ریکارڈ ہو چکے ہیں، اس لئے دستخط ایپ اپڈیٹ کرنا اس خطرے کو واپس نہیں لایا جا سکتا، اور متعلقہ نجی کلیدوں کو منسوخ کرنا ضروری ہے۔ فوری نقصانات سے بچنے کے لئے اصل ٹرانزیکشنز روک دئے گئے ہیں، اور اصلاحات کا تعاون شدہ منصوبہ تصدیق کے آخری مراحل میں ہے۔ EVM ٹرانزیکشنز اور zilliqa-js، gozilliqa-sdk، pyzil جیسے SDKs متاثر نہیں ہوئے۔ (ذرائع: Foresight News)