Celah Kritis di Aplikasi Ledger Zilliqa Berisiko Membocorkan Kunci Privat dari Tanda Tangan Transaksi Native
Ringkasan Pasar AI
Zilliqa mengungkap cacat kritis pada penandatanganan Schnorr di aplikasi Ledger-nya untuk transaksi native (non-EVM), dengan dugaan eksploitasi teramati on-chain. Bug tersebut menetapkan 64 bit teratas dari nonce menjadi nol, sehingga memungkinkan pemulihan kunci privat dari ~5 tanda tangan melalui serangan lattice menggunakan data publik. Karena tanda tangan yang terdampak tersimpan permanen on-chain, penerapan patch tidak dapat memperbaiki paparan yang sudah ada; kunci harus ditinggalkan. Transaksi native dihentikan sementara, meningkatkan risiko operasional dan risiko kepercayaan dalam jangka dekat.
Level dampak
● Tinggi
Wawasan AIWawasan AI
▼ Bearish
⚠️ Wawasan yang dihasilkan AI didasarkan pada konten berita dan disediakan untuk tujuan informasi saja. Wawasan ini bukan nasihat investasi dan tidak mencerminkan pandangan BingX. Investasi melibatkan risiko. Harap trade secara bertanggung jawab.
Zilliqa mengumumkan adanya kerentanan kritis pada aplikasi Ledger miliknya yang berdampak pada proses pembuatan tanda tangan Schnorr untuk transaksi Zilliqa native (non-EVM). Celah ini terdapat di seluruh versi aplikasi Ledger Zilliqa yang dirilis sepanjang 2019 hingga 2026.
Menurut laporan ME News, pada 19 Juli terdeteksi bukti on-chain yang mengindikasikan dugaan eksploitasi aktif. Akar masalahnya dipastikan pada 21 Juli, dan informasi kerentanan dipublikasikan pada 22 Juli (UTC+8).
Kerentanan tersebut memungkinkan penyerang memprediksi nonce sementara yang dipakai saat pembuatan tanda tangan. Dengan memanfaatkan data on-chain yang bersifat publik, penyerang dapat merekonstruksi kunci privat penandatangan. Sumber masalahnya berasal dari program penandatanganan yang menyalin rentang byte yang keliru ketika menulis nonce ke buffer, sehingga 64 bit tertinggi dari setiap nonce yang dihasilkan selalu bernilai nol. Kondisi ini memangkas entropi secara signifikan.
Zilliqa menyebut, dengan lima tanda tangan atau lebih yang terdampak, penyerang dapat memulihkan kunci privat dalam hitungan detik menggunakan teknik lattice reduction. Karena transaksi yang terdampak terekam permanen di blockchain, pembaruan aplikasi penandatanganan tidak dapat menghilangkan risiko ini. Kunci privat terkait harus ditinggalkan dan tidak digunakan lagi.
Zilliqa meminta pengguna yang pernah menandatangani transaksi Zilliqa native menggunakan perangkat Ledger untuk menunggu panduan resmi dan tidak melakukan tindakan mandiri. Untuk mencegah kerugian lanjutan, transaksi native sementara dihentikan, dan rencana pemulihan terkoordinasi sedang difinalisasi. Transaksi EVM serta SDK seperti zilliqajs, gozilliqasdk, dan pyzil dinyatakan tidak terdampak. (Sumber: Foresight News)
