ZilliqaのLedgerアプリの不具合、約5件の取引後に秘密鍵が露出

Zilliqaは、Ledgerアプリに重大な不具合があることを公表したことを受け、ネイティブZIL取引を停止した。この不具合により、ネイティブの非EVM (Ethereum Virtual Machine)取引に関連する公開署名から攻撃者が秘密鍵を復元できる可能性がある。ネットワークによれば、このバグは2019年にさかのぼり、Schnorr署名におけるnonce生成エラーが原因で、上位64ビットがゼロに固定されていた。このため、公開されたオンチェーンデータを使い、影響を受けた署名が約5件以上あれば秘密鍵を再構築できる状態だった。Zilliqaによれば、7月19日に悪用と整合するオンチェーン活動を検知し、7月21日に根本原因を特定、7月22日に公表した。KuCoinはnonceの不具合特定と公開署名から影響を受けた秘密鍵の復元に協力した。プロジェクトは保護措置を講じたとしており、Ledgerは修正版アプリの開発を進めている。一方、Ledger端末でネイティブZIL取引に署名したユーザーには、資金を動かさず公式案内を待つよう求めている。この問題はEVM (Ethereum Virtual Machine)取引やZilliqa SDKベースの署名には影響しない。今回の公表は、Zilliqaが数日前に取引所パートナーのコールドウォレットからZILが盗まれたと明らかにした後に行われたが、同社はこの事件をLedgerの不具合と結び付けていない。CoinGeckoのデータによると、ZILは過去24時間で3.5%下落し0.00244ドルとなり、先の盗難後に記録された過去最安値の0.002441ドル近辺で推移している。