BlockBeats tin tức, ngày 22 tháng 7, Zilliqa đã đăng bài cho biết, ứng dụng Ledger của nhà sản xuất ví phần cứng mã hóa của họ tồn tại lỗ hổng nghiêm trọng trong việc tạo số ngẫu nhiên, ảnh hưởng đến chữ ký Schnorr của các giao dịch Zilliqa gốc không phải EVM. Kẻ tấn công chỉ cần sử dụng dữ liệu công khai trên chuỗi là có thể khôi phục khóa riêng của người ký từ các số ngẫu nhiên tạm thời có độ lệch.

Bất kỳ tài khoản nào đã ký và phát sóng khoảng 5 giao dịch gốc trở lên thông qua ứng dụng Zilliqa Ledger đều được coi là đã bị lộ. Vì chữ ký liên quan đã được ghi lại vĩnh viễn trên chuỗi, việc cập nhật ứng dụng sau này cũng không thể loại bỏ rủi ro, các khóa riêng bị ảnh hưởng phải ngừng sử dụng. Các giao dịch EVM và các công cụ phát triển như zilliqa-js, gozilliqa-sdk, pyzil không bị ảnh hưởng.

Lỗ hổng bắt nguồn từ việc ứng dụng đã chọn sai 32 byte khi sao chép số ngẫu nhiên, giữ lại 8 byte đệm không và mất 8 byte entropy, dẫn đến 64 bit cao nhất của mỗi số ngẫu nhiên cố định bằng không. Kẻ tấn công có thể sử dụng 5 chữ ký bị ảnh hưởng trở lên để khôi phục khóa riêng trong vài giây thông qua phần cứng thông thường. Zilliqa đã quan sát thấy hoạt động khai thác chủ động nghi ngờ vào ngày 19 tháng 7 và xác nhận nguyên nhân gốc rễ vào ngày 21 tháng 7.

Zilliqa đã tạm dừng các giao dịch gốc để ngăn chặn tổn thất tài chính thêm và đang chuẩn bị phiên bản sửa lỗi ứng dụng cùng với Ledger. Tuy nhiên, phiên bản sửa lỗi không thể bảo vệ các khóa đã bị lộ, người dùng bị ảnh hưởng hiện tại không nên tự chuyển tài sản, mà nên chờ đợi phương án xử lý phối hợp chính thức được công bố.