La faille de l’application Zilliqa Ledger expose des clés privées via des données Onchain Data

Zilliqa a mis en garde mercredi contre une vulnérabilité dans l’application Zilliqa Ledger qui pourrait permettre aux attaquants de récupérer les clés privées des utilisateurs. D’après un post X publié mercredi, la vulnérabilité fait en sorte que des signatures soient générées avec des nonces éphémères affaiblis de manière prévisible, à partir desquels un attaquant peut extraire la clé privée du signataire. L’alerte fait suite à un incident survenu lundi, au cours duquel Zilliqa a identifié une faille de sécurité ayant entraîné le vol d’un montant de ZIL non divulgué depuis un portefeuille froid, ce qui a conduit le réseau à demander aux échanges de suspendre temporairement les dépôts et retraits de ZIL.

Zilliqa identifie une vulnérabilité de signature dans l’app Ledger

La vulnérabilité de l’application Zilliqa Ledger permet aux attaquants de récupérer des clés privées en exploitant des données on-chain publiquement disponibles. Zilliqa a déclaré que le défaut fait en sorte que des signatures soient générées avec des nonces éphémères affaiblis de manière prévisible. Cette faiblesse permet à un attaquant d’extraire la clé privée du signataire à partir de signatures de transaction visibles sur la blockchain.

Zilliqa conseille aux utilisateurs concernés d’attendre des consignes

Zilliqa a indiqué que des mesures de protection sont en place pour prévenir de nouvelles pertes et qu’un plan de remédiation coordonné est en cours de finalisation. Les utilisateurs ayant signé au moins cinq transactions natives de Zilliqa avec un appareil Ledger sont considérés comme compromis et sont invités à attendre des consignes supplémentaires avant d’entreprendre toute action. Zilliqa a précisé qu’elle publiera une version corrigée de l’app en coordination avec Ledger. Les utilisateurs qui effectuent des transactions en ZIL via des outils compatibles EVM n’ont pas été impactés.

Zilliqa demande une pause des dépôts sur les échanges après un vol depuis un portefeuille froid

Lundi, Zilliqa a demandé aux échanges de suspendre temporairement les dépôts et retraits de Zilliqa (ZIL) après avoir identifié une vulnérabilité de sécurité ayant entraîné le vol d’un montant de ZIL non divulgué depuis un portefeuille froid. L’incident de lundi a précédé la divulgation, mercredi, de la vulnérabilité de l’application Ledger.

Le token ZIL recule de 17% sur la semaine passée

Le token ZIL a chuté de 1,5% sur les dernières 24 heures et de 17% sur la semaine passée, pour se négocier au-dessus de 0,0024 $ au moment de la publication, d’après CoinMarketCap.

FAQ

Quelle vulnérabilité Zilliqa a-t-elle découverte dans son application Ledger ?

Zilliqa a découvert une vulnérabilité dans l’application Zilliqa Ledger qui fait en sorte que des signatures soient générées avec des nonces éphémères affaiblis de manière prévisible, permettant aux attaquants de récupérer la clé privée du signataire en exploitant des données on-chain publiquement disponibles.

Quels utilisateurs de Zilliqa sont considérés comme compromis par la vulnérabilité de l’app Ledger ?

Les utilisateurs qui ont signé au moins cinq transactions natives de Zilliqa avec un appareil Ledger sont considérés comme compromis. Zilliqa a conseillé à ces utilisateurs d’attendre des consignes supplémentaires avant d’entreprendre toute action. Les utilisateurs qui effectuent des transactions en ZIL via des outils compatibles EVM n’ont pas été impactés.

Pourquoi Zilliqa a-t-elle demandé aux échanges de suspendre les dépôts et retraits de ZIL lundi ?

Zilliqa a demandé aux échanges de suspendre temporairement les dépôts et retraits de ZIL lundi après avoir identifié une vulnérabilité de sécurité ayant entraîné le vol d’un montant de ZIL non divulgué depuis un portefeuille froid.