تطبيق Zilliqa Ledger يحتوي على ثغرة في توليد الأرقام العشوائية، وقد تتعرض الحسابات التي توقّع على 5 معاملات أصلية أو أكثر للاختراق.

أفادت Foresight News أن Zilliqa كشفت في منشور عن وجود ثغرة أمنية خطيرة في تطبيق Ledger الخاص بها، تؤثر على توليد توقيعات Schnorr لمعاملات Zilliqa الأصلية (غير EVM). توجد هذه الثغرة في جميع إصدارات تطبيق Zilliqa Ledger التي صدرت بين 2019 و2026. وقد تم رصد مؤشرات على استغلال نشط لها على السلسلة في 19 يوليو، وتأكيد السبب الجذري في 21 يوليو. تؤدي هذه الثغرة إلى إمكانية التنبؤ بالعدد العشوائي المؤقت (nonce) المستخدم أثناء التوقيع، حيث يستطيع المهاجم استرجاع المفتاح الخاص للمرسل باستخدام البيانات المتاحة علنًا على السلسلة فقط. ونبّهت Zilliqa المستخدمين الذين قاموا بتوقيع معاملات Zilliqa الأصلية باستخدام أجهزة Ledger إلى ضرورة انتظار الإرشادات الرسمية وعدم اتخاذ أي إجراء مستقل في الوقت الحالي.

تعود جذور الثغرة إلى أن برنامج التوقيع نسخ نطاق بايتات خاطئ عند كتابة العدد العشوائي إلى ذاكرة التخزين المؤقت، مما أدى إلى أن أعلى 64 بت من كل عدد عشوائي تم توليده كانت دائمًا تساوي صفرًا، وهو ما تسبب في انخفاض كبير في قيمة الإنتروبيا. عند استغلال خمس توقيعات أو أكثر متأثرة، يمكن للمهاجم استرجاع المفتاح الخاص باستخدام تقنيات lattice reduction في غضون ثوانٍ. ونظرًا لأن المعاملات المتأثرة قد تم تسجيلها بشكل دائم على السلسلة، لا يمكن لأي تحديث لتطبيق التوقيع إبطال هذا الخطر وبالتالي يجب التخلص من المفاتيح الخاصة المرتبطة. في الوقت الحالي، تم إيقاف المعاملات الأصلية لمنع المزيد من الخسائر، ويجري تنسيق خطة إصلاح نهائية. معاملات EVM وواجهات zilliqa-js وgozilliqa-sdk وpyzil البرمجية غير متأثرة.