Binance почала підтримувати EVM-мережу Zilliqa для депозитів і виведення ZIL, оскільки блокчейн відмовляється від своєї застарілої системи транзакцій після інциденту безпеки, який поставив під загрозу тисячі акаунтів.
Binance повідомила, що ZIL буде перенесено із застарілих адрес мейннету Zilliqa до мережі Zilliqa EVM у співвідношенні 1:1, при цьому біржа візьме на себе технічну сторону процесу для користувачів, які зберігають токен на її платформі.
Депозити та виведення через застарілу мережу Zilliqa залишаються призупиненими на Binance з 5 серпня, 01:00 UTC. Після завершення міграції біржа відкриє депозити та виведення ZIL через Zilliqa EVM без окремого оголошення.
Після міграції депозити та виведення через застарілу мережу Zilliqa більше не підтримуватимуться. Спотова торгівля, маржинальна торгівля, ф’ючерси та продукти Binance Earn, пов’язані із ZIL, залишатимуться доступними під час цього процесу.
Крок Binance є частиною поточних зусиль Zilliqa з переведення бірж, кастодіанів та індивідуальних власників із її застарілої системи транзакцій на базі Schnorr після того, як вада в застосунку Zilliqa для Ledger зробила деякі приватні ключі вразливими.
Міграція стала наслідком уразливості в застосунку Zilliqa для Ledger, яка зачепила нативні, не-EVM транзакції, підписані за допомогою пристроїв Ledger.
Як раніше повідомляв crypto.news, проблема полягала в тому, як застосунок генерував підписи Schnorr. Для кожного підпису потрібне випадкове секретне число, відоме як nonce, але уражений застосунок некоректно копіював згенеровані дані в буфер підпису.
Звіт Zilliqa від 20 серпня за підсумками розслідування інциденту показав, що ця помилка залишала старші 64 біти кожного nonce зафіксованими на нулі, зменшуючи випадковість, необхідну для захисту приватного ключа. Зловмисник міг використати кілька публічних підписів з одного й того самого акаунта, щоб відновити його приватний ключ.
Цей дефект був присутній у кожній випущеній версії застосунку Zilliqa для Ledger у період з 2019 по 2026 рік. У Zilliqa заявили, що перша доведена крадіжка сталася 4 березня, за кілька місяців до виявлення проблеми.
У липні активність зросла, і 19 липня KuCoin повідомила Zilliqa про виявлення незвичних вихідних транзакцій з одного зі своїх холодних гаманців. 20 липня Zilliqa вимкнула застарілі транзакції, а наступного дня визначила першопричину.
Згодом проєкт підтвердив, що щонайменше 683,13 млн ZIL були викрадені в межах 66 транзакцій. Загалом було виявлено 6 772 скомпрометовані акаунти, тоді як 51 акаунт був повністю спустошений. У Zilliqa зазначили, що обидві цифри є мінімально підтвердженими, оскільки можуть бути виявлені й інші скомпрометовані акаунти.
Початкові деталі були значно обмеженішими, коли в липні перекази ZIL призупинили. На той момент Zilliqa розкрила лише те, що біржовий партнер зазнав крадіжки з холодного гаманця, але не встановила ані метод атаки, ані обсяг викраденого.
Транзакції Zilliqa EVM не постраждали від цієї вразливості. Проєкт повідомив, що програмні гаманці, які використовували підтримувані ним SDK, генерували nonce коректно, а seed-фраза, що зберігалася на пристроях Ledger, не була скомпрометована.
Виправлення застосунку Ledger могло запобігти появі нових слабких підписів, однак Zilliqa заявила, що не може захистити приватні ключі, які вже були скомпрометовані через підписи, назавжди збережені в ончейні.
Тому проєкт вирішив вивести з експлуатації застарілу не-EVM систему транзакцій і перевести користувачів на Zilliqa EVM. Застарілі адреси виводяться з обігу, а баланси на рівні протоколу перепризначаються на EVM-адреси.
Міграція бірж відбувається поетапно, оскільки кожна платформа-учасник має надати та підтвердити свої EVM-адреси гаманців, перш ніж баланси можна буде перепризначити.
Перший хардфорк для міграції бірж відбувся 2 вересня, перевівши баланси, що зберігалися в застарілих гаманцях на базі Schnorr, на EVM-адреси, надані біржами-учасниками.
До першої хвилі увійшли KuCoin, MEXC, OKCoin, Binance US, Bitvavo, Korbit, Indodax, Bitrue, WhiteBIT, CoinSpot і CoinSwitch. Користувачам, які зберігали ZIL на цих біржах, не потрібно було виконувати жодних дій.
Другий хардфорк був запланований на 22 вересня та охоплював CoinEx, HTX, Bitkub, GOPAX, Coinone, OKX, LBank, Crypto.com, Gate, Paribu, CEX.IO і Bitget.
Очікувалося, що Bybit і Bithumb приєднаються до третього хардфорку міграції, тоді як Zilliqa заявила, що продовжує контактувати з іншими платформами в міру збору та перевірки відповідностей адрес.
Binance залишалася поза попередніми хвилями. Її останнє оголошення тепер підтверджує, що біржа припинить підтримку старої мережі та переведе свою інфраструктуру депозитів і виведення ZIL на Zilliqa EVM.
Клієнти бірж — не єдині власники, яких зачіпає виведення з обігу застарілих адрес.
Zilliqa розробила систему міграції на базі доказів із нульовим розголошенням для користувачів, які зберігають ZIL у власних застарілих гаманцях. Система дає змогу власнику довести право володіння старою адресою та перевести пов’язаний із нею баланс на EVM-адресу, не передаючи Zilliqa seed-фразу чи приватний ключ.
Аудит інструмента ZKP-міграції завершено, йдеться у вересневому оновленні від Zilliqa, а після перевірки безпеки розпочалося внутрішнє тестування. Запуск був запланований на 22 вересня одночасно з активацією ескроу-контракту, необхідного для процесу міграції.
Проєкт попередив користувачів не намагатися переміщувати кошти через скомпрометовані застарілі ключі. Щойно зловмисник відновлює приватний ключ зі старих підписів, і легітимний власник, і нападник можуть підписувати транзакції з цього акаунта.
Тому застарілі транзакції були вимкнені для всіх власників, включно з акаунтами, які ніколи не були скомпрометовані. У Zilliqa заявили, що замороження старої системи транзакцій не дало змоги нападникам із відновленими ключами переміщувати кошти, поки готувався процес міграції.
Баланси, пов’язані із ZIL, уже викраденими під час інциденту, обробляються окремо й не відновлюються автоматично через біржові хардфорки міграції.
Zilliqa працює з біржами та правоохоронними органами, щоб відстежити викрадені активи. У звіті за підсумками інциденту зазначено, що біржовий акаунт, який використовувався для ліквідації частини викрадених коштів, був ідентифікований і заморожений, тоді як проєкт співпрацював із поліцією Сінгапуру та юридичною фірмою щодо процесу відшкодування.
Команда також окремо запропонувала провести голосування спільноти щодо змін у токеноміці ZIL, які можуть включати мінтинг токенів для компенсації постраждалим власникам. У Zilliqa заявили, що деталі щодо критеріїв, обсягів і механіки буде оприлюднено разом із governance-пропозицією, оскільки будь-яка нова емісія змінить пропозицію ZIL.
Перехід Zilliqa до EVM-інфраструктури розпочався ще до інциденту з Ledger.
У червні 2025 року блокчейн перейшов на Zilliqa 2.0, отримавши повну сумісність з Ethereum Virtual Machine разом із консенсусом proof-of-stake та змінами в архітектурі мережі.
Шестимісячний період тестування охоплював 21 зовнішнього валідатора, при цьому proto-mainnet обробив 7,5 млн блоків і пройшов 15 оновлень клієнта до переходу.
Підтримка застарілих транзакцій зберігалася і після запуску Zilliqa 2.0, залишаючи блокчейн одночасно зі старішою нативною транзакційною інфраструктурою та EVM-середовищем.
У Zilliqa заявили, що інцидент із Ledger лише пришвидшив рішення, яке проєкт уже розглядав, — повністю відмовитися від старої інфраструктури. Проєкт назвав застарілий стек дедалі більшою проблемою для розробки та безпеки й повідомив, що Zilliqa EVM стане його єдиним виробничим середовищем.
Інцидент безпеки стався після кількох попередніх технічних проблем у блокчейні, хоча Zilliqa не пов’язувала ті збої з вразливістю Ledger. Відключення мережі в січні 2025 року пояснювали проблемами з lookup-вузлами, тоді як окремий баг у вересні 2024 року зупинив виробництво блоків.
У звіті Zilliqa за підсумками інциденту зазначено, що патч для застосунку Ledger було подано 24 липня та об’єднано з основною гілкою інженером Ledger 27 липня. Виправлена версія відновлює повноцінну генерацію nonce для нових підписів, тоді як приватні ключі, уже скомпрометовані через попередні застарілі підписи, мають бути виведені з обігу.
ZIL
