Zilliqa stoppt native ZIL-Transaktionen aufgrund eines Ledger-Schlüssellecks aus dem Jahr 2019

Am Mittwoch fror Zilliqa native ZIL-Transaktionen ein. Die Blockchain wies eine Sicherheitslücke in ihrer Ledger-App auf, die bereits 2019 entdeckt worden war. Dieser Fehler ermöglichte es Angreifern, private Schlüssel aus bereits in der Blockchain vorhandenen Signaturen zu rekonstruieren. Jeder, der eine native ZIL-Überweisung mit einem Ledger-Gerät signiert hat, ist gefährdet.

Die Schwachstelle wurde von Zilliqa in einem X-Post bestätigt. Sie betrifft die Art und Weise, wie die Ledger-App Schnorr-Signaturen für native, nicht EVM-basierte ZIL-Transaktionen generiert. Nutzer, die ausschließlich EVM-kompatible Tools und die Zilliqa SDKs für ZIL-Transaktionen verwenden, sind nicht betroffen.

Ein 32-Byte-Kopierfehler hat die Zufälligkeit der Signatur beeinträchtigt

Eine Schnorr-Signatur benötigt eine Zufallszahl, die eindeutig sein muss. Diese Zahl wird Nonce genannt. Sie muss für jede Signierung geheim und unvorhersehbar sein. Wird die Zufälligkeit beeinträchtigt, versagt die mathematische Methode zum Schutz des privaten Schlüssels.

Zilliqa erklärte, die Signaturroutine habe die falschen 32 Bytes aus einem 40-Byte-Wert extrahiert. Dadurch seien die oberen 64 Bits jeder Nonce mit Nullen belegt gewesen. Zilliqa beschrieb das Ergebnis als „vorhersehbar geschwächte, kurzlebige Nonces“. Entfernt man diese geringe Zufälligkeit, könnte ein Angreifer mit etwa fünf oder mehr solcher Signaturen den privaten Schlüssel des Unterzeichners rekonstruieren. Alles, was dazu nötig sei, seien öffentliche On-Chain-Daten, so das Team.

Der Fehler besteht seit 2019. Jede seitdem veröffentlichte, geeignete Signatur kann rekonstruiert werden.

Zilliqa hat den Umfang der Sicherheitslücke eindeutig dargelegt. Ausschließlich native ZIL-Transaktionen, die auf Ledger-Hardware signiert wurden, sind betroffen. Alles andere ist ungeschützt. EVM-Transaktionen und die SDKs sind ebenfalls ungeschützt. Zilliqa riet allen, die native ZIL-Transaktionen mit einem Ledger signiert haben, vorerst abzuwarten. Sie sollten keine Gelder transferieren, keine eigenen Reparaturversuche unternehmen und auf offizielle Anweisungen warten.

Zilliqa gab an, bereits Schutzmaßnahmen ergriffen zu haben, um weitere Verluste zu verhindern, und an einem Sanierungsplan zu arbeiten. Ledger selbst arbeitet an einer korrigierten Version der Ledger-App; der Veröffentlichungstermin wird zu einem späteren Zeitpunkt bekannt gegeben.

KuCoin meldet Sicherheitslücke, ZIL erleidet zweiten Treffer

Dies war keine Theorie. Zilliqa gab am 19. Juli bekannt, Aktivitäten in der Blockchain festgestellt zu haben, die auf einen Angriff hindeuteten. Am 21. Juli wurde die Ursache gefunden. Die Ergebnisse wurden am 22. Juli veröffentlicht. Dieser Vorfalldent zu dem bereits jetzt am stärksten von Hackerangriffen betroffenen Quartal in der Geschichte der Kryptowährungen bei.

Zilliqa würdigte KuCoin ausdrücklich für die Diagnose. Laut Zilliqa half KuCoin dabei, den Nonce-Fehler zudent. Zur Veranschaulichung extrahierte die Börse betroffene private Schlüssel aus öffentlichen Signaturen und bestätigte so die Ausnutzung der Sicherheitslücke. Die Zusammenarbeit ermöglichte es Zilliqa , Schutzmaßnahmen zu ergreifen und die umfassendere Fehlerbehebung zu entwickeln, so das Projekt.

Am 20. Juli, nur wenige Tage vor der Veröffentlichung des Ledger-Berichts, gab Zilliqa bekannt, dass ZIL aus einem Cold Wallet eines seiner Börsenpartner gestohlen worden war. Dies führte zu einem Kurssturz des Tokens auf ein neues Allzeittief von 0,002441 US-Dollar. Wie Cryptopolitan damals berichtete, veranlasste dies Coinone und KuCoin, Ein- und Auszahlungen von ZIL auszusetzen.

Solche Diebstähle häuften sich in diesem Jahr, nachdem ein Angreifer erbeutet hatte . CEO Alexander Zahnd rief zur Ruhe auf und kündigte einen ausführlichen Bericht an.

Zilliqa hat sich nicht dazu geäußert, ob die beiden Ereignisse zusammenhängen. Die ZIL-Aktie stand die ganze Woche unter Druck. Laut CoinGecko-Daten fiel der Kurs in den letzten 24 Stunden um 3,5 % auf 0,00244 US-Dollar. Im Mai 2021 erreichte die ZIL-Aktie ein Hoch von rund 0,2563 US-Dollar.