2019년 레저 키 누출 버그로 인해 지릴카가 네이티브 ZIL 거래 중단

수요일, 지릴카는 네이티브 ZIL 거래를 동결했습니다. 이 블록체인은 2019년으로 거슬러 올라가는 레저 앱의 결함이 있었습니다. 이 버그는 공격자가 이미 블록체인에 있는 서명에서 개인 키를 재구성할 수 있게 했습니다. 레저 기기를 사용하여 네이티브 ZIL 이체를 서명한 모든 사람이 위험에 처해 있습니다.

이 취약점은 X 게시물을 통해 지릴카가 확인했습니다. 이 취약점은 레저 앱이 네이티브, 비-EVM ZIL 거래를 위해 스키르 서명을 생성하는 방식에 있습니다. EVM 호환 도구와 지릴카 SDK만을 사용하여 ZIL 거래를 하는 보유자는 영향을 받지 않습니다.

32바이트 복사 버그가 서명 무작위성을 깨뜨렸습니다

스키르 서명에는 고유해야 하는 난수, 즉 논스(nonce)가 필요합니다. 이는 각 서명마다 비밀스럽고 예측 불가능해야 합니다. 무작위성이 약화되면 개인 키를 보호하는 수학적 구조가 무너집니다.

지릴카에 따르면 서명 루틴이 40바이트 값에서 잘못된 32바이트를 가져왔습니다. 이로 인해 모든 논스의 상위 64비트가 0이 되었습니다. 지릴카는 결과를 '예측 가능하게 약화된 일회용 논스'라고 설명했습니다. 이렇게 많은 무작위성을 제거하면 약 5개 이상의 이러한 서명을 가진 공격자가 서명자의 개인 키를 재구성할 수 있습니다. 팀에 따르면 필요한 것은 공개 온체인 데이터뿐입니다.

버그는 2019년부터 존재해 왔습니다. 그 이후로 게시된 모든 유효한 서명은 재구성의 대상이 될 수 있습니다.

지릴카는 폭발 범위를 명확히 했습니다. 레저 하드웨어에서 서명된 네이티브 ZIL 거래만 노출됩니다. 그 외에는 아무것도 없습니다. EVM 거래는 안전합니다. SDK도 안전합니다. 현재 지릴카는 레저로 네이티브 ZIL을 서명한 모든 사람에게 공식 지침이 나올 때까지 기다리라고 말했습니다. 자금을 이동하지 말고, 스스로 수정을 시도하지 말고 기다리십시오.

지릴카는 추가 손실을 방지하기 위해 이미 보호 조치를 취했으며 수정 계획을 수립 중이라고 밝혔습니다. 레저 자체도 패치된 버전의 레저 앱을 개발 중이며, 시기는 나중에 발표될 예정입니다.

쿠코인, ZIL이 두 번째 타격을 받자 악용을 경고

이는 이론적인 문제가 아닙니다. 지릴카는 7월 19일 악용과 일치하는 온체인 활동을 감지했다고 밝혔습니다. 7월 21일 근본 원인을 파악했으며, 7월 22일 공개했습니다. 이 사건은 암호화폐 역사상 가장 해킹당한 분기에 이미 추가된 것입니다.

쿠코인은 진단에 대해 지릴카로부터 특별히 칭찬을 받았습니다. 지릴카는 쿠코인이 논스 버그를 식별하는 데 도움을 주었다고 말했습니다. 시연으로 거래소는 공개 서명에서 영향을 받은 개인 키를 검색하여 악용이 사용 중임을 확인했습니다. 이러한 협력을 통해 지릴카는 보호 조치로 넘어가고 광범위한 수정을 구축할 수 있었습니다.

7월 20일, 레저 공개 며칠 전, 지릴카는 ZIL이 거래소 파트너 중 하나의 콜드 월렛에서 도난당했다고 밝혔습니다. 이로 인해 토큰은 새로운 사상 최저가인 $0.002441로 하락했습니다. 또한 당시 크립토폴리탄이 보고한 바와 같이 코인원과 쿠코인이 ZIL 입금과 출금을 중단하도록 했습니다.

이러한 절도는 올해 초 7월, 공격자가 프라이버시 프로토콜 힝칼(Hinkal)에서 82만 달러를 탈취한 이후 트렌드가 되었습니다. CEO 알렉산더 잔트는 침착할 것을 요청하며 전체 보고서를 제공하겠다고 말했습니다.

지릴카는 두 사건이 관련이 있는지 말하지 않았습니다. 일주일 내내 ZIL은 압박을 받았습니다. 지릴카 데이터에 따르면 ZIL은 지난 24시간 동안 3.5% 하락하여 $0.00244가 되었습니다. ZIL은 2021년 5월 약 $0.2563의 고점을 기록했습니다.