Zilliqa ha rivelato che un bug nel modo in cui la sua applicazione per hardware wallet Ledger firmava le transazioni ha esposto almeno 6.772 account utente e ha permesso il furto di 683 milioni di ZIL, il token nativo della rete. Il progetto blockchain ha esposto i dettagli in un post-mortem, descrivendo una falla legata al modo in cui l'app gestiva i dati segreti che proteggono le chiavi private. Zilliqa stessa è una blockchain pubblica entrata in funzione all'inizio del 2019, che ha fatto dello sharding — la suddivisione del carico transazionale tra gruppi paralleli di nodi — la propria caratteristica progettuale centrale, con ZIL utilizzato per pagare le commissioni di transazione sulla rete.

Secondo il post-mortem, un bug di firma nell'app Zilliqa per Ledger ha lasciato esposti un minimo di 6.772 account. Un bug di firma significa che l'applicazione del wallet ha gestito in modo errato il processo di approvazione delle transazioni — il passaggio pensato per mantenere al sicuro i fondi degli utenti. La falla si trovava nell'applicazione sviluppata da Zilliqa che gira sui dispositivi Ledger, e non nell'hardware di Ledger in sé: i wallet Ledger funzionano tramite app separate, una per ogni blockchain, fornite da ciascun progetto, e questo colloca il codice del progetto stesso all'interno del percorso di firma.

Zilliqa presenta la cifra di 6.772 come un minimo, e non come il totale finale confermato di tutte le persone colpite. La stessa falla, afferma il progetto, ha permesso il furto di 683 milioni di ZIL.

Un report di CryptoSlate ha ricondotto il problema all'app dell'hardware wallet che scartava l'entropia. L'entropia è la casualità utilizzata per generare una chiave privata; senza un livello sufficiente, le chiavi possono essere indovinate, il che può esporre gli asset cripto che proteggono.

Perché il numero di account e la perdita di token sono importanti

La cifra di 6.772 fornisce un limite minimo misurabile del numero di utenti coinvolti nell'incidente. Poiché Zilliqa la descrive come un minimo, il numero reale di account colpiti potrebbe essere più alto. I token rubati evidenziano il peso finanziario del bug: una falla nella firma si colloca nel livello di fiducia di qualsiasi wallet, quindi un guasto in quel punto minaccia direttamente i fondi degli utenti e la fiducia in ZIL.

Il bug era abbastanza grave da spingere Zilliqa a sospendere le transazioni native sulla rete, secondo The Block, che ha riferito come la falla risalisse al codice del 2019 dell'app Ledger — un codice scritto nello stesso anno del lancio della rete, il che significa che il percorso di firma vulnerabile risaliva al primo anno di attività di Zilliqa.

Cosa devono sapere gli utenti di Zilliqa

Gli utenti che detenevano ZIL tramite un dispositivo Ledger potrebbero scoprire che i propri account rientrano nel gruppo esposto. L'incidente ricorda che anche gli hardware wallet, ampiamente considerati l'opzione più sicura, possono presentare falle a livello di app.

Non è nemmeno la prima volta che il processo di firma finisce sotto esame nell'ecosistema Ledger. In passato Ledger era intervenuta per correggere un problema separato quando ha risolto una vulnerabilità di firma su Ethereum, a dimostrazione di come il passaggio di approvazione continui a presentarsi come un punto debole. Lo schema riecheggia quello di altri progetti che hanno sospeso le operazioni dopo un problema a livello di codice, come nel caso di TAC, che ha fermato la produzione di blocchi a causa di un exploit legato all'offerta di token. Fermare la rete fa guadagnare tempo, ma segnala anche quanto sia profonda la falla sottostante.

Per i detentori ordinari, il punto pratico è semplice: seguire i canali ufficiali di Zilliqa per le indicazioni e verificare se un account rientra nell'esposizione dichiarata prima di muovere i fondi. Dietro questo consiglio restano due questioni aperte — se la cifra di 6.772 verrà in seguito rivista al rialzo e quale rimedio, sempre che ne venga prescritto uno, il progetto indicherà per le chiavi generate tramite l'app difettosa.