Zilliqa, 6억 8,300만 ZIL 도난과 연관된 Ledger 결함 확인

Zilliqa는 Ledger의 레거시 애플리케이션에서 개인 키를 노출하고 66건의 거래를 통해 683,130,969.66 ZIL이 도난될 수 있었던 결함을 확인했다. 사후 분석 결과, 이 애플리케이션은 40바이트의 난수를 생성한 뒤 서명 버퍼에 잘못된 32바이트를 복사한 것으로 나타났다. 이로 인해 엔트로피 8바이트가 버려졌고, 영향을 받은 논스의 상위 64비트가 0으로 고정됐다. 같은 계정에서 편향된 서명이 4개 이상 생성되면 공격자는 일반 하드웨어에서 수 초 만에 공개 블록체인 데이터만으로 해당 계정의 개인 키를 재구성할 수 있었다. 사후 분석에서는 최소 6,772개 노출 계정과 51개 자산 인출 계정이 확인됐다. 조사관들이 추가 도난 거래를 확인하면 노출 계정 수는 늘어날 수 있다. 대규모 스캔에는 최소 5개의 네이티브 서명이 필요했기 때문에, 서명이 정확히 4개인 계정은 제외됐다. Zilliqa의 실시간 주소 확인기는 서명 4개인 사례를 보고한다. Zilliqa는 최초로 입증된 도난이 3월 4일 발생한 것으로 추적했으며, 7월 20일 12:59 UTC경 레거시 거래를 비활성화했다. Zilliqa는 최초 애플리케이션 구현을 직접 작성했으며, Ledger는 이후 수년간 이를 유지보수했지만 결함을 발견하지 못했다고 밝혔다. 이번 문제는 Zilliqa EVM 활동, 복구 문구, 다른 블록체인의 자산 또는 목록에 포함된 소프트웨어 지갑 서명 경로에는 영향을 미치지 않는다. Zilliqa는 레거시 보유자를 Zilliqa EVM으로 마이그레이션할 계획이지만, 마이그레이션 도구 출시일은 발표하지 않았다.