Zilliqa Ledger tətbiqində təsadüfi ədədlərin yaradılmasında boşluq var, 5 və ya daha çox nativen əməliyyatı imzalayan hesablar hücuma məruz qala bilər.

Foresight News-un məlumatına görə, Zilliqa bir açıqlama yayaraq Ledger tətbiqində ciddi bir boşluğun olduğunu açıqlayıb. Bu boşluq, əsas (EVM olmayan) Zilliqa əməliyyatlarının Schnorr imza yaradılmasına təsir göstərir. Sözügedən boşluq 2019-cu ildən 2026-cı ilədək buraxılmış bütün Zilliqa Ledger tətbiq versiyalarında mövcuddur. 19 iyulda zəncirdə ehtimal edilən aktiv istifadənin aşkarlanması, 21 iyulda isə əsas səbəbin təsdiqlənməsi baş verib. Bu boşluq, imza zamanı istifadə olunan müvəqqəti təsadüfi ədədin (nonce) proqnozlaşdırıla bilən olmasına səbəb olub, nəticədə hücumçular yalnız zəncir üzərində açıq olan məlumatlarla imzalayanın şəxsi açarını bərpa edə bilərlər. Zilliqa bildirir ki, Ledger cihazı ilə əsas Zilliqa əməliyyatına imza atmış istifadəçilər rəsmi təlimatları gözləməlidir və hələlik müstəqil heç bir addım atmasınlar.

Boşluğun əsas səbəbi, imzalama proqramının təsadüfi ədədi buferə yazarkən yanlış bayt aralığını kopyalamasıdır, nəticədə yaradılan hər təsadüfi ədədin ən yuxarı 64 biti sıfır olaraq sabit qalır və entropiya ciddi şəkildə azalmış olur. Azı 5 təsirlənmiş imzadan istifadə edərək, hücumçular lattice reduction üsulu ilə bir neçə saniyə ərzində şəxsi açarı bərpa edə bilərlər. Təsirlənmiş əməliyyatlar zəncirdə daimi olaraq qeyd olunduğuna görə, imza tətbiqinin yenilənməsi bu riski aradan qaldıra bilmir və aidiyyəti şəxsi açarlar mütləq ləğv edilməlidir. Hazırda əlavə itkilərin qarşısını almaq üçün əsas əməliyyatlar dayandırılıb və uyğun həll yolunun yekun razılaşdırılması aparılır. EVM əməliyyatları və zilliqa-js, gozilliqa-sdk, pyzil kimi SDK-lar təsirlənmir.