Zilliqa 在披露其 Ledger 應用程式存在重大漏洞後，已暫停原生 ZIL 交易；該漏洞可讓攻擊者從公開交易簽章中還原私鑰。Ledger 硬體錢包是加密貨幣領域最廣泛使用的冷儲存裝置之一，因此對任何簽章應用程式存在此類漏洞的專案而言，潛在暴露範圍可能相當重大。

該漏洞影響使用 Ledger 裝置簽署的 Zilliqa 原生、非 EVM 交易，並適用於 2019 年至 2026 年間所有已發布版本的 Zilliqa Ledger 應用程式。Zilliqa 表示，使用 Ledger 裝置簽署約五筆或以上受影響原生交易的帳戶，應被視為已永久遭到入侵。

該網路表示，其在 July 19 偵測到與主動利用相符的鏈上活動，並於 July 21 確認根本原因。Zilliqa 已準備好修正版 Ledger 應用程式建置，但表示該修復無法保護已透過先前簽章暴露的私鑰。在最近一次官方更新中，原生交易仍處於暫停狀態，團隊正完成一項協調復原計畫。

南韓交易所 Upbit 也已將 ZIL 列為警示狀態，而 Zilliqa 表示 EVM 交易及其軟體開發套件不受影響。

Ledger 應用程式漏洞削弱原生交易簽章

該漏洞涉及 Zilliqa Ledger 應用程式為原生交易產生 Schnorr 簽章的方式。每個簽章都需要一個新的隨機數，即 nonce，以協助保護私鑰。根據 Zilliqa 的說法，該應用程式產生了足夠的隨機資料，但在簽章流程中複製了錯誤的 32 位元組。

這項錯誤使每個 nonce 的最高 64 位元固定為零。隨機性降低使攻擊者能夠比較同一帳戶的多個公開簽章，並重建該帳戶的私鑰。偏斜或重複使用的 nonce 是一類已知的加密缺陷，多年來已在多個區塊鏈實作中被記錄；一旦足夠多的偏斜簽章公開，底層私鑰即可能在無需直接存取簽章裝置的情況下失守。

Zilliqa 表示，廣播約五筆或以上受影響原生交易的帳戶應被視為已遭入侵。該專案表示，一旦取得足夠簽章，還原流程可在一般硬體上於數秒內完成。

由於受影響簽章會永久記錄在鏈上，更新 Ledger 應用程式無法修復已暴露的私鑰。Zilliqa 表示，受影響的私鑰必須停用。它也警告使用者，交易恢復後不要只是單純移動資金，因為持有已還原私鑰的攻擊者可能嘗試廣播一筆競爭交易。

原生轉帳暫停，EVM 交易仍不受影響

Zilliqa 在確認該漏洞後暫停原生交易，阻止進一步的原生轉帳，同時團隊正制定保護受影響餘額的方法。不同於智慧合約漏洞或網路層級中斷，此漏洞危及簽章私鑰本身，這意味著受影響地址無法僅靠修補軟體或升級韌體來確保安全。該專案要求曾簽署 Zilliqa 原生交易的 Ledger 使用者等待官方指示。

「使用 Ledger 裝置簽署過 Zilliqa 原生交易的使用者，應在採取任何行動前等待官方指引，」Zilliqa 指出。

Zilliqa 表示，該問題不影響 EVM 交易。該專案也表示，其軟體開發套件，包括 zilliqa-js、gozilliqa-sdk 和 pyzil，都能正確產生 nonce。因此，僅透過 EVM 相容工具進行交易的使用者不在受影響的簽章路徑內。

Nonce-Generation Vulnerability in the Zilliqa Ledger App: A critical vulnerability has been identified in the Zilliqa Ledger application affecting the generation of Schnorr signatures for native (non-EVM) Zilliqa transactions. The vulnerability causes signatures to be generated… — Zilliqa (@zilliqa) July 22, 2026

Zilliqa 表示 KuCoin 協助追查此問題。該交易所從公開簽章中還原受影響私鑰，協助確認主動利用情況，並協助識別有缺陷的 nonce 產生流程。Zilliqa 表示，這項合作協助其在準備更廣泛復原計畫的同時導入保護措施。

Upbit 將 ZIL 列為警示狀態

在該漏洞公開後，Upbit 將 ZIL 列為警示狀態。該指定適用於其 KRW 和 BTC 市場，而 ZIL 存款與提款仍處於暫停狀態。如果問題未能透過該交易所的監控流程解決，交易支援可能面臨進一步審查。

交易所採取行動之際，Zilliqa 仍在努力保護由可能已可還原私鑰控制的餘額。雖然修正版 Ledger 建置已準備完成，但該專案尚未發布完整復原程序，也未宣布原生交易何時恢復。

如 crypto.news 在 July 20 報導，Zilliqa 此前已在一家交易所合作夥伴通報冷錢包遭竊後，要求交易所暫停 ZIL 存款與提款。當時，該專案尚未披露被竊金額、受影響交易所或攻擊方法。Zilliqa 尚未公開表示先前那起竊案是否由 Ledger 漏洞造成。

漏洞發生在 Zilliqa 早前多次中斷之後

Ledger 漏洞不同於 Zilliqa 先前的網路中斷，因為它影響的是私鑰安全，而非區塊生產或節點同步。不過，此次披露是在該網路過去數年發生多起技術中斷之後出現。

Zilliqa 曾在 September 2024 宣布永久修復方案，此前一項錯誤導致區塊生產停止。該網路後來又在 January 2025 發生另一次中斷，與節點同步問題有關，之後才恢復完整服務。Zilliqa 並未將這些事件與 Ledger 應用程式漏洞連結起來。

目前的問題也不在 Ledger 硬體本身。Zilliqa 將該漏洞描述為其自身 Ledger 應用程式原生簽章程式碼中的缺陷。修正版建置恢復完整寬度的 nonce 產生方式，發布後應可防止新的弱簽章出現。

對受影響使用者而言，Zilliqa 表示主要風險仍在於舊交易紀錄。公開簽章無法從區塊鏈中移除。該專案表示，使用 Ledger 裝置簽署過約五筆或以上原生交易的使用者，應將其私鑰視為已遭入侵，並等待復原指示。該網路尚未宣布恢復原生交易的日期。更廣泛的市場應關注完整復原程序、任何額外交易所行動，以及先前冷錢包竊案是否與同一 nonce 產生缺陷相關的明確說明。