Zilliqa ujawniła krytyczny błąd w aplikacji służącej do obsługi tokenów ZIL na portfelach sprzętowych Ledger. Luka mogła pozwolić napastnikom na odtworzenie klucza prywatnego użytkownika na podstawie jego wcześniejszych transakcji, a następnie przejęcie wszystkich środków znajdujących się pod danym adresem.
- 20 lipca Zilliqa poinformowała o kradzieży tokenów ZIL z zimnego portfela jednego z partnerów giełdowych. Projekt nie podał jednak ani liczby skradzionych coinów, ani wartości poniesionych strat.
- Dochodzenie wykazało, że źródłem problemu był błąd w aplikacji Zilliqa na urządzenia Ledger. Zagrożone są adresy, z których podpisano co najmniej pięć natywnych transakcji ZIL za pomocą podatnej aplikacji.
Zilliqa odkryła źródło kradzieży tokenów ZIL
Zilliqa to działająca niezależnie sieć blockchain warstwy pierwszej (L1).
Projekt zasłynął przede wszystkim z zastosowania shardingu, czyli podziału sieci na mniejsze części, które mogą równolegle przetwarzać transakcje.
Miało to zapewnić większą szybkość i niższe opłaty. ZIL jest natomiast natywnym tokenem sieci, wykorzystywanym między innymi do opłacania transakcji i stakingu.
Pierwszy alarm pojawił się 20 lipca. Zilliqa poinformowała wówczas, że tokeny ZIL zostały skradzione z zimnego portfela należącego do jednego z jej partnerów giełdowych.
Nie ujawniono, o jaką giełdę chodziło, ile kryptowalut zniknęło ani jaką miały wartość.
Projekt zwrócił się jednak do platform handlowych o tymczasowe wstrzymanie wpłat i wypłat ZIL, aby utrudnić napastnikowi przenoszenie lub sprzedaż skradzionych środków.
Początkowo nie było wiadomo, czy zawiodły zabezpieczenia giełdy, procedury przechowywania kryptowalut czy sama sieć Zilliqa.
Dochodzenie doprowadziło jednak do znacznie bardziej niepokojącego odkrycia. Źródłem incydentu okazała się aplikacja Zilliqa instalowana na sprzętowych portfelach Ledger.
Jak wiadomo, portfel sprzętowy Ledger przechowuje klucz prywatny użytkownika w odizolowanym urządzeniu.
Aby urządzenie mogło obsługiwać konkretną kryptowalutę, wymaga odpowiedniej aplikacji, która przygotowuje i podpisuje transakcje zgodnie z zasadami danej sieci.
To właśnie w aplikacji przeznaczonej dla Zilliqi znajdował się błąd.
Nie oznacza to więc, że wszystkie urządzenia Ledger są podatne ani że złamano ich zabezpieczenia sprzętowe. Problem dotyczył konkretnego oprogramowania obsługującego natywne transakcje ZIL.
Błąd sprawiał, że cyfrowe podpisy tworzone podczas zatwierdzania transakcji były zbyt przewidywalne.
Każdy taki podpis powinien zawierać jednorazową i losową wartość. W wadliwej aplikacji część tej wartości była jednak zawsze identyczna, przez co podpisy były zbyt przewidywalne.
W praktyce napastnik mógł zebrać publiczne dane dotyczące wcześniejszych transakcji danego adresu i na ich podstawie odtworzyć jego klucz prywatny.
Według Zilliqi wystarczyło co najmniej pięć podatnych podpisów. Nie trzeba było więc kraść urządzenia Ledger, znać kodu PIN ani zdobywać frazy odzyskiwania.
Po odzyskaniu klucza przestępca otrzymywał pełną kontrolę nad portfelem.
Aktywność wskazującą na wykorzystywanie luki zauważono 19 lipca.
Dwa dni później zespół ustalił dokładne źródło problemu i wstrzymał natywne transakcje ZIL. Luka miała znajdować się we wszystkich wersjach aplikacji publikowanych od… 2019 roku.
Transakcje zgodne z EVM oraz pozostałe narzędzia programistyczne Zilliqi nie zostały objęte problemem.
Zilliqa współpracuje obecnie z Ledgerem nad poprawioną wersją aplikacji.
Samo zainstalowanie aktualizacji nie naprawi jednak portfeli, których podpisy zostały już zapisane w blockchainie.
Zagrożone klucze trzeba będzie porzucić, a środki przenieść na nowe adresy zgodnie z instrukcjami projektu.
Do czasu publikacji oficjalnej procedury użytkownicy zostali poproszeni, aby nie wykonywali pochopnych transakcji.
Największą niewiadomą pozostaje skala strat.
Zilliqa potwierdziła kradzież, ale do tej pory nie ujawniła ani liczby przejętych tokenów ZIL, ani ich wartości.
Dlatego każda konkretna kwota pojawiająca się poza oficjalnymi komunikatami powinna być traktowana jako niepotwierdzona.
Śledź CrypS. w Google News. Czytaj najważniejsze wiadomości bezpośrednio w Google! Obserwuj ->
Zajrzyj na nasz telegram i dołącz do Crypto. Society. Dołącz ->
