A Zilliqa suspendeu as transações nativas de ZIL após descobrir uma vulnerabilidade crítica em sua aplicação Ledger que existia desde 2019, tornando as chaves privadas usadas para transações afetadas recuperáveis a partir de assinaturas onchain publicamente disponíveis.

Em um comunicado publicado no X na quarta-feira, a equipe da Zilliqa disse que a vulnerabilidade afeta a geração de assinaturas Schnorr para transações nativas da Zilliqa. O bug faz com que as assinaturas sejam geradas com nonces efêmeros previsivelmente enfraquecidos, a partir dos quais um invasor pode recuperar a chave privada do signatário usando dados onchain publicamente disponíveis.

De acordo com o comunicado, a equipe observou atividade onchain consistente com exploração ativa em 19 de julho antes de isolar a causa raiz em 21 de julho. Atribuiu o problema ao manuseio incorreto de dados de nonce criptográfico, onde a rotina de assinatura copiou os 32 bytes errados de um valor de 40 bytes, deixando os 64 bits mais significativos de cada nonce fixos em zero. 

Essa redução na aleatoriedade permitiu que as chaves privadas fossem reconstruídas a partir de aproximadamente cinco ou mais assinaturas afetadas usando dados onchain publicamente disponíveis, disse a equipe. 

Conforme o comunicado, medidas de proteção já estão em vigor para evitar perdas adicionais, e um plano de remediação coordenado está sendo finalizado. Uma versão corrigida do aplicativo Zilliqa Ledger está sendo preparada em coordenação com a Ledger, com detalhes de lançamento a serem anunciados separadamente. 

Enquanto isso, os usuários que assinaram transações nativas da Zilliqa com um dispositivo Ledger devem aguardar orientações oficiais antes de tomar qualquer ação, disse a equipe. Acrescentou que os usuários que possuem ou transacionam com ZIL exclusivamente por meio de ferramentas compatíveis com EVM não são afetados pela vulnerabilidade.

A equipe também creditou a KuCoin por ajudar a identificar a causa raiz da falha na geração de nonce do aplicativo, recuperando chaves privadas afetadas de assinaturas onchain publicamente disponíveis e confirmando que a vulnerabilidade estava sendo ativamente explorada. 

A Zilliqa disse que o relatório e a cooperação da exchange permitiram a implementação de medidas de proteção enquanto o plano de remediação estava sendo desenvolvido.

O token ZIL (ZIL) da Zilliqa negociou em queda de 4,8% nas últimas 24 horas a US$ 0,0024, de acordo com a página de preços da Zilliqa do The Block.