Критическая уязвимость в приложении Ledger заблокировала транзакции Zilliqa

Хрупкий nonce: семь лет бомба тикала в Ledger-приложении Zilliqa

Причина — уязвимость в приложении для аппаратных кошельков Ledger, которая позволяла восстанавливать приватные ключи пользователей по on-chain-данным. Эксплуатация обнаружена 19 июля, но дефект присутствовал в коде с момента запуска приложения в 2019 году. Токен ZIL по данным CryptoRank за сутки просел на 15%, затем откатился к минус 6,5%.

Архитектура уязвимости: мусор в младших битах

Уязвимость находится не в блокчейне Zilliqa и не в аппаратном модуле Ledger — она исключительно в companion-приложении, слое между железом и сетью. Проблема затрагивает генерацию nonce при подписании EC-Schnorr-транзакций в нативном формате ZIL.

Суть бага: при копировании 32 байт из 40-байтного буфера случайности старшие 64 бита эфемерного nonce фиксировались нулевыми. Для EC-Schnorr это не «мелкая неточность», а катастрофическая потеря энтропии. Частично предсказуемый nonce делает схему подписи математически обратимой.

Пять подписей — и ключ ваш

Злоумышленнику достаточно публично доступных on-chain-подписей, сгенерированных через уязвимое приложение. Пять и более таких подписей позволяют применить метод редукции решёток (lattice reduction) и алгебраически вычислить приватный ключ. Подписи ZIL в блокчейне видны всем — атака не требует ничего, кроме чтения блокэксплорера.

Критически важно: SDK Zilliqa (zilliqa-js, gozilliqa-sdk, pyzil) не затронуты. EVM-совместимые транзакции через Ledger также не пострадали — они используют другую рутину подписи. Уязвим конкретно нативный путь подписи в Ledger-приложении Zilliqa.

Вердикт: ретайр, а не миграция

Zilliqa сотрудничает с Ledger над патчем, но до релиза, аудита и верификации исправленного приложения нативные транзакции останутся замороженными. Рекомендация команды однозначна: скомпрометированные ключи нужно не «переводить», а полностью списывать. Если атакант уже вывел приватный ключ, он способен обогнать любую попытку перевода средств (front-run). Единственный корректный путь — генерация новой ключевой пары через безопасный метод и обращение старой в ноль.

Биржа Upbit уже присвоила ZIL статус предостережённого актива и приостановила ввод/вывод. Для держателей ZIL на Ledger инструкция минимальна: не пытаться перемещать средства через скомпрометированное приложение. Ждать официального гайда по процедуре ретайра ключей.

Семь лет. Нулевые старшие биты. Пять подписей. Это не «инцидент безопасности» — это архитектурный провал на уровне одного memcpy.