Zilliqa blocca le transazioni native ZIL a causa di una vulnerabilità di perdita di chiavi nel registro contabile del 2019
- Il 22 luglio Zilliqa ha sospeso le transazioni native in ZIL dopo che un bug dell'app Ledger del 2019 ha permesso agli aggressori di ricostruire le chiavi private a partire dalle firme pubbliche on-chain.
- Il bug bloccava a zero i 64 bit più significativi di ogni nonce di firma, consentendo a un aggressore di ricostruire una chiave a partire da circa cinque o più firme interessate.
- KuCoin ha contribuito a confermare lo sfruttamento attivo e un'app Ledger corretta è in fase di finalizzazione mentre ZIL viene scambiato vicino al minimo storico di $0,0024.
Mercoledì, Zilliqa ha bloccato le transazioni native in ZIL. La blockchain presentava una vulnerabilità nell'app Ledger risalente al 2019. Il bug consentiva agli aggressori di ricostruire le chiavi private a partire dalle firme già presenti sulla blockchain. Chiunque abbia firmato un trasferimento nativo in ZIL con un dispositivo Ledger è a rischio.
La vulnerabilità è stata confermata da Zilliqa in un post su X. La vulnerabilità risiede nel modo in cui l'app Ledger genera le firme Schnorr per le transazioni ZIL native, non EVM. I possessori di ZIL che utilizzano esclusivamente strumenti compatibili con EVM e gli SDK Zilliqa per effettuare transazioni non saranno interessati.
Un bug di copia di 32 byte ha compromesso la casualità della firma
Una firma Schnorr necessita di un numero casuale, che deve essere univoco. Questo numero viene chiamato nonce. Deve essere segreto e imprevedibile per ogni firma. Se la casualità viene indebolita, l'algoritmo matematico che protegge la chiave privata non funziona più.
Zilliqa ha affermato che la routine di firma estraeva i 32 byte sbagliati da un valore di 40 byte. Questo lasciava zero per i 64 bit più significativi di ogni nonce. Zilliqa ha descritto il risultato come "nonce effimeri prevedibilmente indeboliti". Eliminando tutta questa casualità, un attaccante con circa cinque o più firme di questo tipo potrebbe ricostruire la chiave privata del firmatario. Tutto ciò che serve sono i dati pubblici on-chain, ha affermato il team.
Il bug è presente dal 2019. Qualsiasi firma valida pubblicata da allora può essere oggetto di ricostruzione.
Zilliqa è stata chiarissima sull'entità del problema. Sono esposte solo le transazioni ZIL native firmate su hardware Ledger. Nient'altro. Le transazioni EVM sono sicure. E anche gli SDK sono sicuri. Per ora, Zilliqa ha consigliato a chiunque abbia firmato transazioni ZIL native con un dispositivo Ledger di aspettare. Non spostate fondi, non provate a risolvere il problema da soli, aspettate le istruzioni ufficiali.
Zilliqa ha dichiarato di aver già adottato misure di protezione per prevenire ulteriori perdite e di essere al lavoro su un piano di ripristino. Anche Ledger sta lavorando a una versione corretta dell'app Ledger e i tempi di rilascio saranno annunciati in un secondo momento.
KuCoin segnala una falla nel sistema, mentre ZIL subisce un secondo colpo
Non si trattava di una questione teorica. Zilliqa ha dichiarato di aver rilevato attività on-chain compatibili con uno sfruttamento. Il 21 luglio ha individuato la causa principale e l'ha resa pubblica il 22 luglio. L'incidentedent aggiunge a quello che è già stato il trimestre con il maggior numero di attacchi hacker nella storia delle criptovalute.
Zilliqa ha specificamente riconosciuto a Zilliqa il merito della diagnosi. Zilliqa ha affermato che KuCoin ha contribuito adentil bug del nonce. A titolo dimostrativo, l'exchange ha recuperato le chiavi private interessate dalle firme pubbliche, confermando che l'exploit era in uso. La collaborazione ha permesso Zilliqa di implementare misure di protezione e di sviluppare una soluzione più completa, ha dichiarato il progetto.
Il 20 luglio, pochi giorni prima della rivelazione di Ledger, Zilliqa ha comunicato che ZIL era stato rubato da un cold wallet di uno dei suoi partner di scambio. Questo ha fatto crollare il token a un nuovo minimo storico di 0,002441 dollari. Inoltre, secondo quanto riportato all'epoca Cryptopolitan , Coinone e KuCoin hanno sospeso i depositi e i prelievi di ZIL.
Quest'anno, furti di questo tipo sono diventati una tendenza, dopo che a luglio un hacker ha sottratto 820.000 dollari al protocollo per la privacy Hinkal. L'amministratore delegato Alexander Zahnd ha invitato alla calma e ha promesso di fornire un rapporto completo.
Zilliqa non ha specificato se i due eventi siano correlati. Per tutta la settimana ZIL è stato sotto pressione. Secondo i dati di CoinGecko, ZIL ha perso il 3,5% nelle ultime 24 ore, attestandosi a $0,00244. ZIL ha raggiunto un massimo di circa $0,2563 nel maggio 2021.
Le menti più brillanti del mondo delle criptovalute leggono già la nostra newsletter. Vuoi partecipare? Unisciti a loro.
Domande frequenti
Chi è interessato dalla vulnerabilità del registro Zilliqa ?
Solo gli utenti che hanno firmato transazioni ZIL native, non EVM, con un dispositivo Ledger sono a rischio. I detentori che trasferiscono ZIL esclusivamente tramite strumenti compatibili con EVM, insieme agli SDK Zilliqa , non sono interessati.
Come potrebbero gli aggressori rubare le chiavi private da questa vulnerabilità?
L'app Ledger ha copiato i 32 byte sbagliati da un valore di 40 byte. Questo ha fissato a zero i 64 bit più significativi di ogni nonce di firma, e la perdita di casualità ha permesso a un malintenzionato di ricostruire una chiave privata a partire da circa cinque o più firme interessate, utilizzando i dati pubblici on-chain.
Quando Zilliqa ha rilevato lo sfruttamento?
Zilliqa ha dichiarato di aver osservato un'attività on-chain compatibile con uno sfruttamento attivo il 19 luglio. Ha isolato la causa principale il 21 luglio e ha poi reso pubblica la vulnerabilità il 22 luglio.
Disclaimer. Le informazioni fornite non costituiscono consulenza di trading. Cryptopolitan/ non si assume alcuna responsabilità per gli investimenti effettuati sulla base delle informazioni fornite in questa pagina. Consigliamotronvivamente di effettuare ricerche indipendentident di consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Randa Moses
Randa Moses è redattrice e reporter presso Cryptopolitan dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e attacchi hacker. Lavora nel settore delle criptovalute dal 2017 e ha ricoperto ruoli presso Forward Protocol, AmaZix e Cryptosomniac. Randa ha conseguito una laurea in Ingegneria Elettrica edtronpresso l'Università di Bradford.
