Aplikasi Zilliqa Ledger memiliki celah pada pembuatan angka acak, sehingga akun yang menandatangani 5 transaksi asli atau lebih dapat dibobol.

Foresight News melaporkan bahwa Zilliqa mengungkapkan aplikasi Ledger mereka memiliki kerentanan serius yang memengaruhi pembuatan tanda tangan Schnorr untuk transaksi Zilliqa asli (non-EVM). Kerentanan ini terdapat di semua versi aplikasi Zilliqa Ledger yang dirilis antara tahun 2019 hingga 2026. Pada 19 Juli, terdeteksi adanya tanda-tanda eksploitasi aktif di chain, dan pada 21 Juli penyebab utama telah dikonfirmasi. Kerentanan ini memungkinkan nonce acak sementara yang digunakan saat menandatangani dapat diprediksi, sehingga penyerang dapat memulihkan private key penandatangan hanya dengan data publik di chain. Zilliqa mengingatkan bahwa pengguna yang pernah menggunakan perangkat Ledger untuk menandatangani transaksi Zilliqa asli disarankan menunggu arahan resmi dan untuk sementara tidak mengambil tindakan mandiri.

Penyebab utama kerentanan terletak pada program tanda tangan yang menyalin rentang byte yang salah saat menulis nonce ke buffer, sehingga 64 bit tertinggi dari nonce yang dihasilkan selalu bernilai nol dan tingkat entropi menjadi sangat rendah. Dengan memanfaatkan minimal 5 tanda tangan yang terdampak, penyerang dapat memulihkan private key dalam hitungan detik menggunakan lattice reduction. Karena transaksi yang terdampak telah tercatat permanen di chain, memperbarui aplikasi tanda tangan tidak dapat menghilangkan risiko ini, sehingga private key terkait harus ditinggalkan/dinonaktifkan. Saat ini, transaksi asli telah dihentikan sementara untuk mencegah kerugian lebih lanjut, dan solusi perbaikan sedang dalam tahap konfirmasi akhir. Transaksi EVM serta SDK seperti zilliqa-js, gozilliqa-sdk, dan pyzil tidak terdampak.