公鏈Zilliqa發(fā)布緊急安全公告：硬件錢(qián)包Ledger重大漏洞,受影響用戶切勿自行轉(zhuǎn)賬
硬件錢(qián)包一向被視為加密貨幣最安全的避風(fēng)港，但若應(yīng)用程序底層的密碼學(xué)實(shí)作出現(xiàn)瑕疵，仍可能引發(fā)災(zāi)難性的后果。
據(jù)Zilliqa官方帳號(hào)(@zilliqa)發(fā)布的最新重要安全公告指出，ZilliqaLedger應(yīng)用程序中發(fā)現(xiàn)了一個(gè)極度危險(xiǎn)的漏洞，該漏洞直接影響了原生(非EVM)Zilliqa交易的Schnorr簽名生成，使得攻擊者能輕易從公開(kāi)的鏈上資料反推并恢復(fù)用戶的私鑰。
隨機(jī)數(shù)遭截?cái)?，格基還原法成黑客利器
這起安全事件的根本原因在于底層代碼的低級(jí)失誤。Zilliqa的原生交易采用secp256k1曲線上的EC-Schnorr簽名機(jī)制，在簽署過(guò)程中，系統(tǒng)必須產(chǎn)生一個(gè)256位元的完全隨機(jī)數(shù)(Nonce，通常以變數(shù)$k$表示)。
然而，Zilliqa團(tuán)隊(duì)調(diào)查發(fā)現(xiàn)，雖然代碼確實(shí)正確產(chǎn)生了40位元組的隨機(jī)數(shù)并取模，但在將資料復(fù)制到nonce緩沖區(qū)時(shí)，卻錯(cuò)誤地只抄寫(xiě)了32位元組。
這個(gè)致命的失誤導(dǎo)致該隨機(jī)數(shù)的前64位元永遠(yuǎn)為零($k<2^{192}$)，隨機(jī)數(shù)的強(qiáng)度遭大幅削弱。這種可預(yù)測(cè)的偏差，讓攻擊者能利用「格基還原法(lattice reduction)」快速求解隱藏?cái)?shù)字問(wèn)題(Hidden Number Problem)，進(jìn)而拼湊出完整的私鑰。
存在長(zhǎng)達(dá)7年！交易滿5筆即視為遭破解
令人震驚的是，根據(jù)官方公布的時(shí)間線，這個(gè)漏洞自2019年以來(lái)就一直存在于所有版本的Zilliqa Ledger應(yīng)用程序中。
直到今年7月19日，官方才觀察到符合主動(dòng)攻擊特征的鏈上活動(dòng)，并于7月21日正式確認(rèn)根本原因并成功重現(xiàn)漏洞。
Zilliqa官方警告，受影響的對(duì)象主要為使用Ledger硬件錢(qián)包簽署「原生Zilliqa交易(ZIL1地址)」的用戶。
若該帳戶過(guò)去已透過(guò)Ledger廣播了約5筆或更多的原生交易，由于鏈上已留下足夠的簽名特征，其私鑰目前已被視為「已遭破解」。
不過(guò)官方也強(qiáng)調(diào)，使用EVM工具(0x地址)的交易，以及透過(guò)Zilliqa官方SDK(如zilliqa-js等)生成的交易皆不受此漏洞影響。
官方急停原生交易，呼吁用戶「暫勿自行轉(zhuǎn)帳」
為了防止災(zāi)情擴(kuò)大，Zilliqa團(tuán)隊(duì)目前已緊急暫停所有原生(非EVM)交易，并正與Ledger官方密切合作，準(zhǔn)備釋出修正版本的應(yīng)用程序。
針對(duì)已受影響的Ledger用戶，官方發(fā)出了強(qiáng)烈警告：受影響用戶目前切勿自行進(jìn)行任何轉(zhuǎn)帳操作。
因?yàn)橐坏┧借€已暴露在黑客的監(jiān)控雷達(dá)中，任何直接轉(zhuǎn)帳的動(dòng)作都極有可能被攻擊者利用機(jī)器人搶先(Front-running)攔截。用戶應(yīng)耐心等待Zilliqa官方后續(xù)公布的協(xié)調(diào)補(bǔ)救方案。
此外，Zilliqa也在貼文中特別感謝加密貨幣交易所KuCoin的鼎力相助。KuCoin在本次事件中不僅協(xié)助定位了Ledger應(yīng)用程序的Nonce問(wèn)題，更從鏈上簽名中協(xié)助恢復(fù)受影響的私鑰以確認(rèn)攻擊手法，其快速通報(bào)與配合調(diào)查的舉動(dòng)，為保護(hù)整個(gè)生態(tài)系爭(zhēng)取了寶貴的時(shí)間。
Zilliqa同時(shí)澄清，此次事件純屬Ledger應(yīng)用程序的技術(shù)問(wèn)題，與交易所的錢(qián)包管理機(jī)制無(wú)關(guān)。
到此這篇關(guān)于公鏈Zilliqa發(fā)布緊急安全公告：硬件錢(qián)包Ledger重大漏洞,受影響用戶切勿自行轉(zhuǎn)賬的文章就介紹到這了,更多相關(guān)硬錢(qián)包Ledger重大漏洞安全公告內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持腳本之家！
你可能感興趣的文章
-
Zilliqa Ledger應(yīng)用曝嚴(yán)重漏洞，攻擊者可恢復(fù)簽署者私鑰，硬件錢(qián)包安全
Zilliqa Ledger應(yīng)用被曝嚴(yán)重漏洞，攻擊者可借此恢復(fù)簽名者私鑰，直接威脅用戶資產(chǎn)安全,該漏洞源于應(yīng)用層代碼缺陷，繞過(guò)硬件錢(qián)包安全隔離機(jī)制，使私鑰暴露于網(wǎng)絡(luò)環(huán)境,事件再…
2026-07-22 -
加密IPO寒冬降臨?Consensys與Ledger集體撤單
MetaMask 錢(qián)包開(kāi)發(fā)商 Consensys 將其 IPO 暫時(shí)推遲至最早今年秋季,與此同時(shí)，加密硬件錢(qián)包巨頭 Ledger 也于 5 月 13 日暫停其美國(guó) IPO 計(jì)劃,這一連串的 IPO 推遲與暫停，標(biāo)…
2026-05-14 -
Ledger 新增 OKX DEX 支持，設(shè)備端代幣兌換上線
Ledger 宣布集成 OKX DEX 至其硬件錢(qián)包，用戶可直接通過(guò)設(shè)備端進(jìn)行鏈上代幣兌換,該功能支持 Ethereum、Arbitrum 等多網(wǎng)絡(luò)，交易由 Ledger 硬件簽名確保安全自托管，無(wú)需跨…
2026-02-11 -
一文了解法國(guó)加密貨幣用戶因Ledger硬件錢(qián)包遭遇襲擊
本周在巴黎郊區(qū)發(fā)生了最新一起"扳手攻擊"事件，犯罪分子專門(mén)針對(duì)個(gè)人加密貨幣持有者實(shí)施了有預(yù)謀的襲擊,更多詳細(xì)資訊請(qǐng)看下面正文…
2025-06-23 -
瑞波 推出XRP Ledger機(jī)構(gòu)級(jí)DeFi計(jì)劃解讀
瑞波(Ripple)于2/25在官方宣布其XRP Ledger(XRPL)最新機(jī)構(gòu)級(jí)DeFi發(fā)展藍(lán)圖，目標(biāo)是讓XRPL成為安全、可擴(kuò)展的L1公鏈，并吸引金融機(jī)構(gòu)在合規(guī)環(huán)境下使用區(qū)塊鏈技術(shù), 更多詳細(xì)資…
2025-02-27 -
野村證券與Ledger合資的Komainu欲收購(gòu)Propine！以擴(kuò)展新加坡市場(chǎng)
由野村證券(Nomura)和數(shù)字資產(chǎn)安全公司Ledger合資的Komainu，宣布收購(gòu)新加坡的托管公司Propine Holdings Pte Ltd，更多詳細(xì)資訊請(qǐng)看下面正文…
2024-10-23 -
Ripple穩(wěn)定幣RLUSD已在以太坊及XRP Ledger上進(jìn)行測(cè)試
加密支付商Ripple Labs在日前發(fā)推宣布，已開(kāi)始在XRP Ledger(XRPL)及以太坊主網(wǎng)上，測(cè)試新推出的超額抵押美元穩(wěn)定幣Ripple USD(RLUSD)，更多詳細(xì)資訊請(qǐng)看下面正文…
2024-08-12 -
Ledger CEO公開(kāi)信：盡力幫助受影響的個(gè)人追回資金
在歷經(jīng)一個(gè)晚上的漏洞恐慌后，Ledger董事長(zhǎng)兼執(zhí)行長(zhǎng)Pascal Gauthier稍早對(duì)昨天的漏洞攻擊一事發(fā)布公開(kāi)信，并強(qiáng)調(diào)將盡力幫助受影響的個(gè)人追回資金, 更多詳細(xì)資訊請(qǐng)看下面正…
2023-12-16 -
Ledger被黑Tether迅速凍結(jié)攻擊者USDT！DeFi安全值得反思
近日，知名冷錢(qián)包制造商Ledger的代碼庫(kù)Ledger Connect Kit遭到黑客攻擊，遭竊取約48.4萬(wàn)美元的資金,面對(duì)這一安全危機(jī)，穩(wěn)定幣發(fā)行商Tether迅速回應(yīng)，凍結(jié)了攻擊者的地址, …
2023-12-16 -
聯(lián)手PayPal！Ledger APP可以直接買幣 自動(dòng)發(fā)送至冷錢(qián)包
加密硬件錢(qián)包龍頭Ledger與支付巨頭PayPal合作，讓客戶可利用PayPal賬戶在Ledger Live上直接購(gòu)買加密貨幣，購(gòu)買的加密貨幣將自動(dòng)發(fā)送到Ledger冷錢(qián)包中,…
2023-08-17
