Zilliqa Ledger ilovasi tasodifiy sonlar generatsiya qilishda zaiflik mavjud, 5 yoki undan ko'p mahalliy tranzaksiyani imzolagan akkauntlar xakerlar tomonidan buzilishi mumkin

Foresight News xabariga ko‘ra, Zilliqa o‘zining Ledger ilovasida jiddiy xatolik borligini e’lon qildi; bu muammo mahalliy (EVM emas) Zilliqa tranzaksiyalaridagi Schnorr imzo generatsiyasiga ta’sir qiladi. Xatolik 2019 yildan 2026 yilgacha chiqarilgan barcha Zilliqa Ledger ilovasi versiyalarida mavjud. Iyul 19 kuni blokcheynda faol ekspluatatsiyadan shubhalanuvchi belgilar aniqlangan, iyul 21 kuni esa asosiy sabab tasdiqlangan. Ushbu xatolik sababli imzo qo‘yishda ishlatiladigan vaqtinchalik tasodifiy raqam (nonce)ni taxmin qilish mumkin bo‘lib qoladi; xakerlar faqatgina blokcheyndagi ommaviy ma’lumotdan foydalangan holda imzo chekuvchining maxfiy kalitini tiklay oladi. Zilliqa barcha Ledger qurilmalarida mahalliy Zilliqa tranzaksiyasini imzolagan foydalanuvchilarga, rasmiy ko‘rsatmalar bo‘lmagunga qadar, o‘zboshimchalik bilan hech qanday harakat qila ko‘rmaslikni tavsiya qiladi.

Xatolikning asosiy sababi imzo dasturi tasodifiy raqamni buferga yozishda noto‘g‘ri baytlar oralig‘ini ko‘chirgani, natijada generatsiya qilingan har bir tasodifiy raqamning yuqori 64 biti nol bilan belgilanib, entropiya jiddiy kamaygan. Ta’sirlangan imzolar bo‘yicha kamida 5 ta ma’lumotdan foydalangan holda, hujumchi lattice reduction orqali bir necha soniya ichida maxfiy kalitni tiklashi mumkin. Ta’sirlangan tranzaksiyalar blokcheynda doimiy yozib qo‘yilganligi sababli, imzo ilovasini yangilash bu xatarning oldini ola olmaydi va tegishli maxfiy kalitlar bekor qilinishi kerak. Hozirda qo‘shimcha yo‘qotishlarning oldini olish uchun mahalliy tranzaksiyalar vaqtincha to‘xtatilgan, tuzatish choralarining yakuniy muvofiqlashtiruvi olib borilmoqda. EVM tranzaksiyalar hamda zilliqa-js, gozilliqa-sdk, pyzil va boshqa SDKlar bu muammoga ta’sir qilmaydi.