Zilliqa ने अपने लेजर एप्लिकेशन में एक गंभीर खामी का खुलासा करने के बाद मूल ZIL लेनदेन को निलंबित कर दिया है, जो हमलावरों को सार्वजनिक लेनदेन हस्ताक्षरों से निजी कुंजियों को पुनः प्राप्त करने की अनुमति दे सकता है। 

यह बग 2019 से 2026 तक ऐप के हर जारी किए गए संस्करण को प्रभावित करता है और लेजर उपकरणों के साथ हस्ताक्षरित मूल, गैर-EVM लेनदेन पर लागू होता है।

नेटवर्क ने कहा कि उसने 19 जुलाई को सक्रिय शोषण के अनुरूप ऑनचेन गतिविधि देखी और 21 जुलाई को मूल कारण की पुष्टि की। Zilliqa ने एक संशोधित लेजर ऐप बिल्ड तैयार किया है, लेकिन यह सुधार पहले के हस्ताक्षरों के माध्यम से उजागर हुई कुंजियों की सुरक्षा नहीं कर सकता। टीम द्वारा एक समन्वित रिकवरी योजना को अंतिम रूप दिए जाने तक मूल लेनदेन नवीनतम आधिकारिक अपडेट में निलंबित रहे।

Zilliqa लेजर बग ने लेनदेन हस्ताक्षरों को कमजोर किया

इस खामी ने प्रभावित किया कि Zilliqa लेजर ऐप ने मूल लेनदेन के लिए श्नोर हस्ताक्षरों को कैसे उत्पन्न किया। प्रत्येक हस्ताक्षर को निजी कुंजी की सुरक्षा के लिए एक नई रैंडम संख्या, जिसे नॉनस (nonce) कहा जाता है, की आवश्यकता होती है। Zilliqa ने कहा कि ऐप ने पर्याप्त रैंडम डेटा उत्पन्न किया लेकिन हस्ताक्षर प्रक्रिया में गलत 32 बाइट्स कॉपी कर दिए। इस गलती ने प्रत्येक नॉनस के उच्चतम 64 बिट्स को शून्य पर स्थिर छोड़ दिया।

कम हुई रैंडमनेस ने हमलावरों को एक ही खाते से कई सार्वजनिक हस्ताक्षरों की तुलना करने और उसकी निजी कुंजी को पुनर्निर्मित करने की अनुमति दी। Zilliqa ने कहा कि जिन खातों ने लगभग पांच या अधिक प्रभावित मूल लेनदेन का प्रसारण किया है, उन्हें समझौता किया गया माना जाना चाहिए। परियोजना ने कहा कि पर्याप्त हस्ताक्षर उपलब्ध होने के बाद सामान्य हार्डवेयर पर रिकवरी प्रक्रिया में कुछ सेकंड लग सकते हैं।

क्योंकि हस्ताक्षर स्थायी रूप से ऑनचेन रिकॉर्ड किए जाते हैं, लेजर ऐप को अपडेट करने से पहले से उजागर कुंजी की मरम्मत नहीं की जा सकती। Zilliqa ने कहा कि प्रभावित कुंजियों को निष्क्रिय कर दिया जाना चाहिए। इसने लेनदेन फिर से शुरू होने पर केवल धन स्थानांतरित करने के खिलाफ भी चेतावनी दी क्योंकि एक हमलावर, जिसके पास पुनः प्राप्त कुंजी है, प्रतिस्पर्धी लेनदेन भेजने का प्रयास कर सकता है।

EVM उपयोगकर्ता अप्रभावित रहते हुए मूल लेनदेन रुक गए

Zilliqa ने खामी की पहचान करने के बाद मूल लेनदेन को निलंबित कर दिया, जिससे आगे के मूल हस्तांतरण अवरुद्ध हो गए, जबकि टीम प्रभावित शेष राशि की सुरक्षा के लिए एक विधि विकसित कर रही है। परियोजना ने उन लेजर उपयोगकर्ताओं से, जिन्होंने मूल लेनदेन पर हस्ताक्षर किए थे, आधिकारिक निर्देशों की प्रतीक्षा करने का आग्रह किया।

“जिन उपयोगकर्ताओं ने लेजर डिवाइस के साथ मूल Zilliqa लेनदेन पर हस्ताक्षर किए हैं, उन्हें कोई भी कार्रवाई करने से पहले आधिकारिक मार्गदर्शन की प्रतीक्षा करनी चाहिए,” Zilliqa ने नोट किया।

Zilliqa के अनुसार, यह समस्या EVM लेनदेन को प्रभावित नहीं करती है। परियोजना ने यह भी कहा कि इसके सॉफ्टवेयर डेवलपमेंट किट, जिनमें zilliqa-js, gozilliqa-sdk और pyzil शामिल हैं, नॉनस को सही ढंग से उत्पन्न करते हैं। इसलिए, जो उपयोगकर्ता केवल EVM-संगत उपकरणों के माध्यम से लेनदेन करते हैं, वे प्रभावित हस्ताक्षर मार्ग से बाहर रहते हैं।

Zilliqa ने समस्या का पता लगाने में मदद करने के लिए KuCoin को श्रेय दिया। एक्सचेंज ने सार्वजनिक हस्ताक्षरों से प्रभावित निजी कुंजियों को पुनः प्राप्त किया, सक्रिय शोषण की पुष्टि करने में मदद की और दोषपूर्ण नॉनस-उत्पादन प्रक्रिया की पहचान करने में सहायता की। Zilliqa ने कहा कि इस सहयोग ने व्यापक रिकवरी योजना तैयार करते हुए सुरक्षात्मक उपाय शुरू करने में मदद की।

खुलासे के बाद Upbit ने ZIL को सावधानी सूची में डाला

दक्षिण कोरियाई एक्सचेंज Upbit ने भेद्यता सार्वजनिक होने के बाद ZIL को सावधानी स्थिति में डाल दिया। यह पदनाम इसके KRW और BTC बाजारों को कवर करता है, जबकि ZIL जमा और निकासी निलंबित रहती है। यदि एक्सचेंज की निगरानी प्रक्रिया के माध्यम से समस्या का समाधान नहीं होता है, तो ट्रेडिंग समर्थन की आगे समीक्षा हो सकती है।

यह एक्सचेंज कार्रवाई तब हुई है जब Zilliqa उन शेष राशियों को सुरक्षित करने पर काम कर रहा है जो पहले से ही पुनः प्राप्त की जा सकने वाली कुंजियों द्वारा नियंत्रित हो सकती हैं। एक संशोधित लेजर बिल्ड तैयार किया गया है, लेकिन परियोजना ने अभी तक अपनी पूरी रिकवरी प्रक्रिया प्रकाशित नहीं की है या यह घोषणा नहीं की है कि मूल लेनदेन कब फिर से शुरू होंगे।

जैसा कि crypto.news ने 20 जुलाई को रिपोर्ट किया था, Zilliqa ने पहले ही एक्सचेंजों से ZIL जमा और निकासी को रोकने के लिए कहा था जब एक एक्सचेंज पार्टनर ने कोल्ड-वॉलेट चोरी की सूचना दी थी। उस स्तर पर, परियोजना ने चोरी की गई राशि, प्रभावित एक्सचेंज या हमले की विधि का खुलासा नहीं किया था। Zilliqa ने सार्वजनिक रूप से यह नहीं बताया है कि क्या वह पहले की चोरी लेजर खामी के कारण हुई थी।

बग पहले की Zilliqa नेटवर्क बाधाओं के बाद आया है

लेजर भेद्यता पहले की Zilliqa आउटेज से अलग है क्योंकि यह ब्लॉक उत्पादन या नोड सिंक्रनाइज़ेशन के बजाय निजी-कुंजी सुरक्षा को प्रभावित करती है। फिर भी, यह खुलासा कई तकनीकी बाधाओं के बाद हुआ है जिन्होंने पिछले वर्षों में नेटवर्क को प्रभावित किया था।

इसके अलावा, Zilliqa ने सितंबर 2024 में एक बग द्वारा ब्लॉक उत्पादन को रोकने के बाद एक स्थायी सुधार की घोषणा की। नेटवर्क को बाद में जनवरी 2025 में नोड सिंक्रनाइज़ेशन समस्याओं से संबंधित एक और आउटेज का सामना करना पड़ा, इससे पहले कि उसने पूरी सेवा बहाल की। Zilliqa ने उन घटनाओं को लेजर ऐप खामी से नहीं जोड़ा है।

वर्तमान समस्या लेजर हार्डवेयर से भी बाहर है। Zilliqa ने समस्या को अपने लेजर एप्लिकेशन के मूल हस्ताक्षर कोड में एक दोष के रूप में वर्णित किया। संशोधित बिल्ड पूर्ण-चौड़ाई वाले नॉनस जेनरेशन को पुनर्स्थापित करता है और जारी होने के बाद नई कमजोर हस्ताक्षरों को रोकना चाहिए।

प्रभावित उपयोगकर्ताओं के लिए, पुराना लेनदेन इतिहास मुख्य जोखिम बना हुआ है। सार्वजनिक हस्ताक्षरों को ब्लॉकचेन से हटाया नहीं जा सकता। Zilliqa ने कहा कि जिन उपयोगकर्ताओं ने लेजर डिवाइस के साथ लगभग पांच या अधिक मूल लेनदेन पर हस्ताक्षर किए हैं, उन्हें अपनी कुंजियों को समझौता किया हुआ मानना चाहिए और रिकवरी निर्देशों की प्रतीक्षा करनी चाहिए। नेटवर्क ने मूल लेनदेन को बहाल करने की तारीख की घोषणा नहीं की है।