Zilliqa identifiziert Ledger-Schwachstelle im Zusammenhang mit dem Diebstahl von 683 Millionen ZIL

Zilliqa hat eine Schwachstelle in Ledgers Legacy-Anwendung identifiziert, durch die private Schlüssel offengelegt wurden und der Diebstahl von 683,130,969.66 ZIL in 66 Transaktionen ermöglicht wurde. Die nachträgliche Untersuchung ergab, dass die Anwendung 40 Zufallsbytes erzeugte, aber die falschen 32 Bytes in ihren Signierpuffer kopierte. Dadurch wurden acht Entropie-Bytes verworfen und die hohen 64 Bit der Nonces betroffener Konten auf null gesetzt. Vier oder mehr verzerrte Signaturen desselben Kontos konnten es Angreifern ermöglichen, dessen privaten Schlüssel anhand öffentlich verfügbarer Blockchain-Daten innerhalb von Sekunden auf gewöhnlicher Hardware zu rekonstruieren. Die Untersuchung identifizierte mindestens 6.772 exponierte Konten und 51 Konten, die vollständig geleert wurden. Die Zahl der exponierten Konten könnte steigen, wenn die Ermittler weitere Diebstahltransaktionen identifizieren. Der Massenscan erforderte mindestens fünf native Signaturen und schloss daher Konten mit genau vier Signaturen aus. Zillikas Live-Adressprüfung weist auf Fälle mit vier Signaturen hin. Zilliqa datierte den ersten nachgewiesenen Diebstahl auf den 4. März zurück und deaktivierte Legacy-Transaktionen am 20. Juli gegen 12:59 UTC. Zilliqa erklärte, das Unternehmen habe die ursprüngliche Anwendungsimplementierung verfasst, während Ledger sie jahrelang betreut habe, ohne die Schwachstelle zu entdecken. Das Problem betrifft weder Aktivitäten auf Zilliqa EVM noch Wiederherstellungsphrasen, Vermögenswerte auf anderen Blockchains oder die aufgeführten Signierpfade von Software-Wallets. Zilliqa plant, die Inhaber von Legacy-Beständen zu Zilliqa EVM zu migrieren, hat jedoch noch keinen Starttermin für das Migrationstool angekündigt.