Zilliqa wstrzymała wszystkie natywne transfery ZIL po tym, jak krytyczna luka w jej aplikacji dla portfela sprzętowego Ledger ujawniła klucze prywatne użytkowników, wywołując reakcję na poziomie giełd oraz gwałtowny spadek ceny tokena. Incydent podkreśla często pomijane ryzyko w bezpieczeństwie portfeli sprzętowych: choć urządzenia takie jak Ledger są projektowane tak, aby izolować klucze prywatne od systemów podłączonych do internetu, zewnętrzne aplikacje blockchainowe działające na tych urządzeniach nadal mogą wprowadzać możliwe do wykorzystania błędy.

Upbit nadaje ZIL status ostrzegawczy

Upbit, największa giełda kryptowalut w Korei Południowej, szybko nadała ZIL status ostrzegawczy i rozpoczęła przegląd pod kątem wycofania z obrotu. Handel nie został jeszcze zawieszony, ale działanie giełdy odzwierciedla poważne obawy dotyczące konsekwencji dla bezpieczeństwa oraz potencjalnego ryzyka dla inwestorów. Po ogłoszeniu ZIL spadł o około 10%.

Szczegóły techniczne luki

Błąd dotyczy sposobu, w jaki aplikacja Zilliqa Ledger obsługiwała losowość — konkretnie nonce — w podpisach Schnorra dla natywnych transakcji Zilliqa (non-EVM). Po około pięciu natywnych transakcjach podpisanych za pomocą aplikacji Ledger atakujący mogliby potencjalnie odtworzyć klucz prywatny użytkownika przy użyciu standardowej mocy obliczeniowej. Błędy w generowaniu nonce są dobrze udokumentowaną klasą podatności kryptograficznych: gdy podpisy ponownie wykorzystują nonce lub generują przewidywalne wartości nonce, bazowy klucz prywatny może zostać matematycznie odzyskany z publicznych danych podpisu. W tym przypadku ekspozycja ma charakter trwały, ponieważ każdy podpis jest zapisany on-chain.

Zilliqa ostrzegła, że każde konto, które korzystało z dotkniętej problemem aplikacji Ledger, należy uznać za skompromitowane, ponieważ ujawnione dane podpisów są trwale zapisane on-chain.

Projekt ujawnił lukę za pośrednictwem swojego oficjalnego konta X:

Nonce-Generation Vulnerability in the Zilliqa Ledger App: A critical vulnerability has been identified in the Zilliqa Ledger application affecting the generation of Schnorr signatures for native (non-EVM) Zilliqa transactions. The vulnerability causes signatures to be generated… — Zilliqa (@zilliqa) July 22, 2026

Zakres problemu

Transakcje kompatybilne z EVM oraz portfele programowe wydają się nieobjęte tą podatnością. Zilliqa, wraz z partnerami giełdowymi, w tym KuCoin, pracuje nad śledzeniem skradzionych środków. Luka została publicznie ujawniona około July 21.

Wskazówki dla dotkniętych użytkowników

Użytkownikom, którzy przeprowadzali natywne transfery Zilliqa za pośrednictwem aplikacji Ledger, zaleca się natychmiastową rotację kluczy. Zilliqa podkreśliła, że dotknięte konta należy traktować jako w pełni skompromitowane, ponieważ danych podpisów ujawnionych on-chain nie można usunąć.

Incydent pokazuje, że bezpieczeństwo portfela sprzętowego zależy nie tylko od fizycznego urządzenia, ale także od integralności warstwy aplikacyjnej, która na nim działa. To, czy Upbit przejdzie do wycofania ZIL z obrotu oraz czy Zilliqa udostępni poprawioną aplikację Ledger, pozostaje kluczowym rozwojem sytuacji do obserwowania. Zilliqa obecnie koordynuje działania z giełdami i partnerami, aby ograniczyć skutki incydentu, jednocześnie pracując nad rozwiązaniem.

Źródło: DailyCoin