Upbit zablokował Zilliqa po luce w aplikacji Ledger

Upbit umieścił Zilliqa (ZIL) na liście monitorowanej do potencjalnego usunięcia po wykryciu poważnej wady w aplikacji portfela Ledger, która ujawniała prywatne klucze użytkowników. Giełda zawiesiła pary ZIL/KRW i ZIL/BTC oraz zablokowała depozyty i wypłaty ZIL od 20 lipca; przegląd ma potrwać do tygodnia zaczynającego się 17 sierpnia.

Błąd dotyczył natywnej aplikacji Ledger dla Zilliqa. Aplikacja zerowała część losowej liczby używanej przy podpisywaniu transakcji, co powodowało wyciek informacji z podpisów. Po około pięciu rodzimych transakcjach podpisanych przez aplikację atakujący mógł w ciągu kilku sekund na zwykłym komputerze odtworzyć klucz prywatny. Transakcje EVM i portfele programowe nie były dotknięte tą wadą.

Wykorzystanie luki rozpoczęło się 19 lipca. 20 lipca partner giełdy zgłosił kradzież ZIL ze swojego zimnego portfela. 21 lipca błąd został potwierdzony przy wsparciu dochodzenia prowadzonego z udziałem KuCoin. W wyniku analizy giełdy i użytkownicy, których adresy wykonywały podpisy aplikacją Ledger Zilliqa, uznano za narażone na utratę środków.

Upbit wskazał, że działa zgodnie z koreańską ustawą o ochronie użytkowników wirtualnych aktywów oraz przepisami o bezpieczeństwie inwestorów z 2024 roku. Decyzja o zdjęciu etykiety monitorowanej lub ostatecznym delistingu będzie zależała od planu naprawczego przedłożonego przez zespół Zilliqa. Zilliqa zapowiedziała opracowanie planu rekompensat i działań naprawczych, jednak szczegóły nie zostały jeszcze upublicznione.

Operatorzy portfeli i użytkownicy powinni wycofać lub unieważnić narażone klucze, ponieważ ujawnione podpisy pozostają na stałe w łańcuchu i mogą posłużyć do odzyskania klucza prywatnego. W komunikacie projektu podkreślono: „Każde konto, które wykonało około pięciu lub więcej rodzimych transakcji podpisanych przez aplikację Ledger Zilliqa, należy uznać za skompromitowane.” Natomiast natywne transfery ZIL pozostają zawieszone do czasu usunięcia usterki.

Rynek zareagował spadkiem ceny ZIL o około 10% po pierwszych komunikatach o luce. Token osiągnął w środę historyczne minimum 0,00235 USD. W tydzień poprzedzający ogłoszenia notowania straciły około 17%, a wobec szczytu z maja 2021 roku wartość spadła o około 99%. Kapitalizacja rynkowa Zilliqa wynosi obecnie około 49 mln USD.