زِلیکا کے لیجر ہارڈویئر والٹ ایپ میں سات سال تک خاموشی سے بیٹھنے والا ایک بگ اب بے رحمی سے تباہ کن بن گیا ہے۔ یہ خامی، جو 2019 میں ایپ کے شروع ہونے سے لے کر ہر ورژن میں موجود تھی، حملہ آور کو علی الاعلان چین پر دستیاب ڈیٹا سے صارفین کے پرائیویٹ کلیدز کو واپس حاصل کرنے کی اجازت دیتی تھی۔
زلیکا نے 19 جولائی، 2026 کو فعال استعمال کا پتہ لگایا۔ دو دن بعد، ٹیم نے بنیادی وجوہات کو الگ کر لیا اور فوری طور پر تمام نیٹیو ZIL لین دین روک دیں۔
کیا غلط ہوا، اور کتنے عرصے تک
یہ کمزوری اس طرح سے وجود رکھتی ہے کہ لیجر ایپ نیٹیو ZIL ٹرانزیکشنز کے دوران EC-Schnorr دستخط کے لیے نانسز کو کیسے جنریٹ کرتا ہے۔ عارضی نانس کے سب سے اہم 64 بٹ صفر پر فکسڈ تھے، جو 40-بائٹ رینڈومنس بفر سے 32-بائٹ کاپی کے غلط طریقے سے ہینڈل ہونے کی وجہ سے پیدا ہوئے۔
یہ جزئی پیشگوئی کرنا کرپٹوگرافک سیکیورٹی کے لیے موت کا فیصلہ ہے۔ ایک حملہ آور جس کے پاس صرف پانچ یا زیادہ متاثرہ دستخط موجود ہوں، جو کوئی بھی جو دیکھنا چاہے وہ آن چین پر دیکھ سکتا ہے، لیٹس ریڈکشن کے نام سے ایک طریقہ استعمال کر کے صارف کا پرائیویٹ کلید ریاضیاتی طور پر الگ کر سکتا ہے۔
یہ Zilliqa کے بلاک چین کا کوئی خطا نہیں ہے، نہ ہی Ledger کی بنیادی ہارڈویئر سیکورٹی کا۔ یہ معاون ایپ میں ایک بگ ہے، وہ سافٹ ویئر لیئر جو Ledger ڈیوائس کو Zilliqa نیٹ ورک سے جوڑتی ہے۔ Zilliqa کے SDKs، جن میں zilliqa-js، gozilliqa-sdk، اور pyzil شامل ہیں، مکمل طور پر متاثر نہیں ہوئے ہیں۔ Ledger کے ذریعے پروسیس ہونے والے EVM کے مطابق ٹرانزیکشن بھی ٹھیک ہیں، کیونکہ ان کا استعمال مختلف سائننگ روتین سے ہوتا ہے۔
اب تک کے اثرات
اپبٹ، جو جنوبی کوریا کا ایک بڑا کرپٹو ایکسچینج ہے، نے ZIL کو ایک احتیاطی اثاثہ قرار دے دیا اور ڈپازٹ اور نکالنے دونوں کو روک دیا۔ دیگر ایکسچینجز کی رپورٹس کے مطابق وہ صورتحال کا جائزہ لے رہے ہیں۔
زِلیکا کی پاسداری کا جواب تنازع کے انتظام اور نقصان کے کنٹرول کا ایک ملا جلا مجموعہ رہا ہے۔ ٹیم نے تصدیق کی ہے کہ بنیادی وجوہات 21 جولائی کو علیحدہ تھیں، اور وہ اب لیڈجر کے ساتھ براہ راست مل کر ایک فکس تیار کر رہے ہیں۔
کمپنی نے متاثرہ صارفین کو واضح ہدایات دی ہیں۔ متاثرہ کلیدوں کو بالکل ختم کرنا ہوگا، ٹرانسفر نہیں کرنا۔ اگر حملہ آور پہلے ہی آپ کی نجی کلید حاصل کر چکا ہے، تو وہ آپ کی کوشش کی جانے والی کسی بھی ٹرانسفر کو فرانت رن کر سکتا ہے۔ تجویز کردہ راستہ یہ ہے کہ محفوظ طریقے سے بالکل نئی کلیدیں بنائیں اور پرانی کلیدوں کو مستقل طور پر جلائے ہوئے سمجھیں۔
جو چیزیں سرمایہ کاروں کو دیکھنی چاہییں
زِل کے مالکان کا فوری خدہ یہ ہے کہ نیٹیو لین دین کی روک تھام مختصر ہوگی یا طویل۔ ایک حل کے لیے زِلیقا اور لیڈجر کے درمیان تعاون درکار ہے۔ جب تک ایک اپ ڈیٹڈ ایپ جاری، آڈٹ اور تصدیق نہیں کی جاتی، نیٹیو لین دین ممکنہ طور پر فریز رہے گا۔ اپبٹ نے پہلے ہی ڈپازٹ اور نکالنے کو روک دیا ہے، جس سے زِل کا ٹریڈنگ والیوم متعدد طور پر دباؤ میں ہے۔
جس کے پاس ZIL Ledger ڈیوائس پر ہے، اس کے لیے ترجیح واضح ہے: متاثرہ ایپ کا استعمال کرکے فنڈز منتقل نہ کریں۔ Zilliqa کی طرف سے کلید کی ریٹائرمنٹ کے عمل پر آفیشل ہدایات کا انتظار کریں۔