Die große südkoreanische Kryptowährungsbörse Upbit hat Zilliqa (ZIL) als Vorsichts-Asset gekennzeichnet, nachdem eine kritische Schwachstelle in ihrer Ledger-Anwendung entdeckt wurde.
Laut Wu Blockchain hat Upbit ZIL unter den Status eines Vorsichts-Assets gestellt, was Bedenken hinsichtlich der zukünftigen Handelsunterstützung des Tokens an der Kryptobörse aufkommen lässt, mit der Möglichkeit einer Delistung, falls das Sicherheitsproblem nicht behoben wird.
Heute früh, am 22. Juli, hat Zilliqa einen kritischen Nonce-Generierungsfehler in seiner Ledger-App offengelegt, der es ermöglicht, private Schlüssel aus öffentlichen Signaturen nach etwa fünf nativen Transaktionen wiederherzustellen.
Das Problem betrifft alle Versionen, die von 2019 bis 2026 veröffentlicht wurden, wobei am 19. Juli eine aktive Ausnutzung beobachtet wurde. Native Zilliqa-Transaktionen wurden ausgesetzt, betroffene Schlüssel sollen stillgelegt werden, während EVM-Transaktionen nicht betroffen sind.
Upbit hat daraufhin ZIL als Vorsichts-Asset auf seinen KRW- und BTC-Märkten eingestuft. ZIL-Einzahlungen und -Auszahlungen bleiben ausgesetzt, und die Handelsunterstützung kann eingestellt werden, wenn das Problem nicht behoben wird.
Was ist passiert?
Am 22. Juli gab Zilliqa in einem X-Beitrag die Entdeckung einer Nonce-Generierungsschwachstelle in seiner Ledger-App bekannt.
Eine kritische Schwachstelle wurde in der Zilliqa Ledger-Anwendung identifiziert, die die Generierung von Schnorr-Signaturen für native (nicht-EVM) Zilliqa-Transaktionen betrifft. Die Schwachstelle führt dazu, dass Signaturen mit vorhersagbar geschwächten ephemeren Nonces generiert werden, aus denen ein Angreifer den privaten Schlüssel des Unterzeichners nur mit öffentlich verfügbaren On-Chain-Daten wiederherstellen kann.
Das Zilliqa-Team stellte fest, dass bereits Schutzmaßnahmen ergriffen wurden, um weitere Verluste zu verhindern, und ein koordinierter Behebungsplan wird finalisiert.
Die Schwachstelle betrifft private Schlüssel, die zum Signieren nativer Zilliqa-Transaktionen mit einem Ledger-Gerät verwendet werden, und jedes Konto, das etwa fünf oder mehr native Transaktionen über die Zilliqa Ledger-App gesendet hat, sollte als kompromittiert betrachtet werden. Dies liegt daran, dass ihre privaten Schlüssel aus Signaturen rekonstruiert werden können, die bereits auf der Blockchain aufgezeichnet sind, unabhängig von späteren Software-Updates.
Das Problem beschränkt sich jedoch auf den nativen Signierpfad der Ledger-App, EVM-Transaktionen sind nicht betroffen.
