Zilliqa hat offengelegt, dass ein Fehler in der Art und Weise, wie die Ledger-Hardware-Wallet-Anwendung Transaktionen signierte, mindestens 6.772 Nutzerkonten offengelegt und den Diebstahl von 683 Millionen ZIL, dem nativen Token des Netzwerks, ermöglicht hat. Das Blockchain-Projekt erläuterte die Details in einem Post-Mortem, in dem ein Fehler beschrieben wird, der damit zusammenhing, wie die App die geheimen Daten verwaltete, die private Schlüssel schützen. Zilliqa selbst ist eine öffentliche Blockchain, die Anfang 2019 live ging und Sharding — also die Aufteilung der Transaktionslast auf parallele Knotengruppen — zu ihrem zentralen Designmerkmal machte, wobei ZIL zur Zahlung von Transaktionsgebühren im Netzwerk verwendet wird.

Laut dem Post-Mortem ließ ein Signaturfehler in der Zilliqa-Ledger-App mindestens 6.772 Konten ungeschützt. Ein Signaturfehler bedeutet, dass die Wallet-Anwendung den Prozess der Transaktionsfreigabe fehlerhaft behandelte — der Schritt, der die Gelder der Nutzer schützen soll. Der Fehler lag in der von Zilliqa entwickelten Anwendung, die auf den Geräten von Ledger läuft, und nicht in der Hardware von Ledger selbst: Ledger-Wallets arbeiten über separate, pro Blockchain bereitgestellte Apps, die jeweils das betreffende Projekt liefert, wodurch der eigene Code des Projekts in den Signaturpfad eingebettet wird.

Zilliqa stellt die Zahl 6.772 als Mindestwert dar und nicht als bestätigte endgültige Gesamtzahl aller Betroffenen. Derselbe Fehler, so das Projekt, ermöglichte den Diebstahl von 683 Millionen ZIL.

Berichte von CryptoSlate führten das Problem darauf zurück, dass die Hardware-Wallet-App Entropie verworfen habe. Entropie ist die Zufälligkeit, die zur Erzeugung eines privaten Schlüssels verwendet wird; ohne ausreichend davon werden Schlüssel vorhersagbar, was die von ihnen geschützten Krypto-Assets offenlegen kann.

Warum die Zahl der Konten und der Token-Verlust wichtig sind

Die Zahl 6.772 bietet eine messbare Untergrenze für die Anzahl der Nutzer, die von dem Vorfall betroffen waren. Da Zilliqa sie als Mindestwert beschreibt, könnte die tatsächliche Zahl der betroffenen Konten höher liegen. Die gestohlenen Token zeigen das finanzielle Gewicht des Fehlers: Ein Signaturfehler befindet sich in der Vertrauensebene jeder Wallet, sodass ein Ausfall dort unmittelbar die Gelder der Nutzer und das Vertrauen in ZIL bedroht.

Der Fehler war so schwerwiegend, dass Zilliqa native Transaktionen im Netzwerk aussetzte, wie The Block berichtete. Demnach reiche der Fehler bis in den Code der Ledger-App aus dem Jahr 2019 zurück — also in jenes Jahr, in dem das Netzwerk startete, was bedeutet, dass der anfällige Signaturpfad aus Zilliqas erstem Betriebsjahr stammte.

Was Zilliqa-Nutzer daraus mitnehmen sollten

Nutzer, die ZIL über ein Ledger-Gerät gehalten haben, könnten mit ihren Konten zur betroffenen Gruppe gehören. Der Vorfall erinnert daran, dass selbst Hardware-Wallets, die weithin als sicherere Option gelten, Fehler auf Anwendungsebene enthalten können.

Auch ist dies nicht das erste Mal, dass Signaturen im Ledger-Ökosystem unter Kritik geraten. Ledger hat zuvor ein separates Problem behoben, als es eine Schwachstelle bei der Ethereum-Signierung schloss, was unterstreicht, dass der Freigabeschritt immer wieder als Schwachstelle auftaucht. Das Muster ähnelt anderen Projekten, die ihren Betrieb nach einem Problem auf Code-Ebene pausierten, ähnlich wie TAC die Blockproduktion wegen eines Exploits beim Token-Angebot stoppte. Das Anhalten des Netzwerks verschafft Zeit, signalisiert aber auch, wie tief der zugrunde liegende Fehler reicht.

Für normale Inhaber ist die praktische Botschaft einfach: Offizielle Zilliqa-Kanäle nach Anweisungen beobachten und bestätigen, ob das eigene Konto zu der offengelegten Betroffenheit gehört, bevor Gelder verschoben werden. Hinter diesem Rat stehen zwei offene Fragen — ob die Zahl 6.772 später nach oben korrigiert wird und welche Abhilfemaßnahmen das Projekt, falls überhaupt, für Schlüssel vorsieht, die mit der fehlerhaften App erzeugt wurden.

Haftungsausschluss: Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Anlageberatung dar. Märkte für Kryptowährungen und digitale Vermögenswerte sind mit erheblichen Risiken verbunden. Treffen Sie immer eigene Recherchen, bevor Sie Entscheidungen treffen.