- 7 月 22 日， Zilliqa 停止了原生 ZIL 交易，此前 2019 年 Ledger 应用程序的一个漏洞允许攻击者根据公开的链上签名重建私钥。.
- 该漏洞将每个签名 nonce 的前 64 位锁定为零，使攻击者能够从大约五个或更多受影响的签名中重建密钥。.
- KuCoin 帮助确认了活跃的漏洞利用，而修复后的 Ledger 应用程序正在最终定稿，此时 ZIL 的交易价格接近历史最低点 0.0024 美元。.
周三， Zilliqa 冻结了原生ZIL交易。该区块链的Ledger应用程序存在一个漏洞，该漏洞可追溯至2019年。该漏洞允许攻击者根据区块链上已有的签名重建私钥。任何使用Ledger设备签署过原生ZIL转账的用户都面临风险。.
Zilliqa 已在 X 论坛上确认了该漏洞。该漏洞存在于 Ledger 应用为原生非 EVM ZIL 交易生成 Schnorr 签名的方式中。仅使用 EVM 兼容工具和 Zilliqa SDK 进行 ZIL 交易的用户不会受到影响。.
一个 32 字节的复制错误破坏了签名随机性
Schnorr签名需要一个唯一的随机数，称为nonce。每次签名时，nonce都必须是秘密且不可预测的。如果随机性减弱，保护私钥的数学算法就会失效。.
Zilliqa 表示，签名程序从一个 40 字节的值中提取了错误的 32 字节，导致每个 nonce 的前 64 位均为零。Zilliqa Zilliqa 这种结果描述为“可预见的、被削弱的临时 nonce”。去除如此多的随机性后，攻击者只需五个或更多这样的签名即可重构签名者的私钥。该团队表示，这一切只需要公开的链上数据即可。.
该 漏洞 自 2019 年起就存在。此后发布的任何符合条件的签名都可用于重建漏洞。
Zilliqa 对此次事件的影响范围已明确说明。只有在 Ledger 硬件上签名的原生 ZIL 交易才会受到影响。其他任何交易都不会受到影响。EVM 交易和 SDK 也同样如此。目前， Zilliqa 要求所有使用 Ledger 硬件签名原生 ZIL 的用户等待。不要转移任何资金，不要尝试自行修复，请等待官方指示。.
Zilliqa 表示，已采取保护措施防止进一步损失，并正在制定补救方案。Ledger自身也在开发Ledger应用程序的修复版本，具体发布时间将另行通知。.
KuCoin 标记漏洞利用，ZIL 遭受第二次打击
这并非纸上谈兵。Zilliqa Zilliqa 于 7 月 19 日表示，他们检测到了与漏洞利用相符的链上活动。7 月 21 日，他们找到了根本原因。7 月 22 日，他们公开了这一消息。此次事件dent 本季度遭受的黑客 攻击 历史新高。
Zilliqa 特别感谢 Zilliqa 的诊断工作。Zilliqa 表示，KuCoin 帮助他们dent了 nonce 漏洞。作为演示，该交易所从公共签名中检索出了受影响的私钥，证实了该漏洞已被利用。Zilliqa 表示，此次合作使 Zilliqa 能够着手采取保护措施并构建更广泛的修复方案。.
7月20日，就在Ledger披露消息的几天前， Zilliqa 透露其一家交易所合作伙伴的冷钱包中的ZIL代币被盗。这导致ZIL价格跌至历史新低0.002441美元。据 Cryptopolitan 当时报道，此事也促使Coinone和KuCoin暂停了ZIL的充值和提现。.
今年7月初，一名攻击者从隐私协议提供商Hinkal窃取了82万美元，此后此类盗窃事件开始出现趋势。首席执行官Alexander Zahnd呼吁各方保持冷静，并表示他将提交一份完整的报告。
Zilliqa 尚未说明这两件事是否有关联。ZIL本周一直承压。根据CoinGecko的数据，ZIL在过去24小时内下跌了3.5%，至0.00244美元。ZIL在2021年5月曾达到约0.2563美元的高点。.
最顶尖的加密货币专家都在阅读我们的简报。想 加入他们？
常见问题解答
哪些人会受到 Zilliqa Ledger 漏洞的影响？
只有使用 Ledger 设备签署原生非 EVM ZIL 交易的用户才会面临风险。仅通过兼容 EVM 的工具以及 Zilliqa SDK 进行 ZIL 交易的持有者不受影响。.
攻击者如何利用这个漏洞窃取私钥？
Ledger 应用从一个 40 字节的值中复制了错误的 32 字节。这导致每个签名 nonce 的前 64 位被置零，丢失的随机性使得攻击者能够利用公开的链上数据，从大约五个或更多受影响的签名中重建私钥。.
Zilliqa 何时检测到漏洞利用？
Zilliqa 表示，他们在7月19日观察到与活跃利用漏洞相符的链上活动。他们在7月21日找到了根本原因，然后在7月22日公开披露了该漏洞。.
免责声明：本页面提供的信息并非交易建议。Cryptopolitan.com对任何基于本页面信息进行的投资概不负责。我们tron您在做出任何投资决定前进行独立dent /或咨询合格的专业人士。Cryptopolitan研究
兰达·摩西
Randa Moses是 Cryptopolitan 的编辑和记者，主要报道科技、人工智能、机器人、加密货币、诈骗和黑客攻击等领域。她自2017年起便投身于加密货币领域，曾就职于Forward Protocol、AmaZix和Cryptosomniac等公司。Randa拥有布拉德福德大学电气与tron工程学位。.
