Question 1

Qui est concerné par la vulnérabilité du registre Zilliqa ?

Accepted Answer

Seuls les utilisateurs ayant signé des transactions ZIL natives (hors EVM) avec un appareil Ledger sont exposés à un risque. Les détenteurs qui transfèrent leurs ZIL exclusivement via des outils compatibles EVM, ainsi que les SDK Zilliqa , ne sont pas concernés.

Question 2

Comment des attaquants pourraient-ils voler des clés privées grâce à cette faille ?

Accepted Answer

L'application Ledger a copié 32 octets erronés sur une valeur de 40 octets. Cela a fixé à zéro les 64 bits de poids fort de chaque nonce de signature, et la perte d'aléatoire a permis à un attaquant de reconstituer une clé privée à partir d'environ cinq signatures affectées, voire plus, en utilisant des données publiques sur la blockchain.

Question 3

Quand Zilliqa a-t-il détecté l'exploitation de cette faille ?

Accepted Answer

Zilliqa a déclaré avoir observé une activité sur sa blockchain compatible avec une exploitation active le 19 juillet. L'entreprise a isolé la cause première le 21 juillet, puis a divulgué publiquement la vulnérabilité le 22 juillet. Le projet a remercié KuCoin d'avoir confirmé l'attaque.

Zilliqa

Zilliqa suspend les transactions ZIL natives suite à une faille de sécurité de 2019 dans Ledger

Un briefing précis.
Chaque jour.

Zilliqa

Zilliqa suspend les transactions ZIL natives suite à une faille de sécurité de 2019 dans Ledger

Un briefing précis.Chaque jour.

Un briefing précis.
Chaque jour.