Desenvolvedores da Zilliqa (ZIL) divulgaram nesta quarta-feira (22) uma vulnerabilidade crítica em seu aplicativo para a carteira Ledger. Segundo o texto, isso permite que um terceiro recupere a chave privada usando apenas dados on-chain.
No início da semana, diversas corretoras precisaram pausar depósitos e saques da criptomoeda após uma delas ser atacada. O montante roubado não foi divulgado.
O novo comunicado traz mais informações sobre o tema, incluindo recomendações para investidores.
Qualquer conta que realizou mais de cinco transações pode ser considerada comprometida, alertam desenvolvedores
A vulnerabilidade estaria presente desde 2019, há 7 anos, em todas as versões do aplicativo Zilliqa para Ledger. Apesar disso, a falha só teria sido explorada pela primeira vez no último domingo (19).
Dando detalhes técnicos sobre a causa, os desenvolvedores apontam que as transações de ZIL são autenticadas usando assinaturas EC-Schnorr sobre a curva secp256k1 e que cada assinatura exige um nonce efêmero de 256 bits novo.
No entanto, a transação estaria copiando 32 bytes errados dos 40 bytes padrão de aleatoriedade ao copiar esse valor para o buffer do nonce.
Como consequência, o nonce com 64 bits revelava informações sobre a chave privada a cada assinatura, de modo que ela pudesse ser recuperada em segundos por um computador comum.
“Qualquer conta que tenha transmitido aproximadamente cinco ou mais transações nativas assinadas pelo aplicativo Zilliqa para Ledger deve ser considerada comprometida. Sua chave privada pode ser reconstruída a partir das assinaturas já registradas na blockchain, independentemente de qualquer atualização posterior do software.”
Negociada nas principais corretoras do mercado, incluindo Binance, Upbit, OKX, Bytbit, Bitget e outras, a ZIL opera em queda de 19,8% nos últimos sete dias. Como comparação, o Bitcoin sobe 1,4% no mesmo período.
Desenvolvedores pausam transações e preparam plano para proteger saldos de usuários afetados
Finalizando, os desenvolvedores afirmam que já estão trabalhando com a Ledger para lançar uma versão corrigida do aplicativo. No entanto, notam que recomendar simplesmente que os usuários movam seus fundos seria ineficaz e potencialmente inseguro, já que um hacker poderia se antecipar a essa transação.
“Um plano coordenado para proteger os saldos afetados está sendo finalizado e será publicado separadamente. Até lá, usuários que assinaram transações nativas da Zilliqa com um dispositivo Ledger não devem tomar nenhuma medida por conta própria e devem seguir apenas os canais oficiais da Zilliqa.”
O texto, que pode ser lido na íntegra no tuíte abaixo, nota que as transações nativas de ZIL foram suspensas como medida de segurança. Por fim, a falha não afeta carteiras EVM.
