TheBlock
Zilliqa hat native Transaktionen ausgesetzt, nachdem ein Bug in seiner Ledger-App offengelegt wurde, der bis ins Jahr 2019 zurückreicht und die Wiederherstellung privater Schlüssel aus betroffenen Onchain-Signaturen ermöglicht.
Die Schwachstelle betrifft native ZIL-Transaktionen, die mit Ledger-Geräten signiert wurden. EVM-Transaktionen und Zilliqa SDKs bleiben unberührt, wodurch sich der Schadensradius auf einen bestimmten Signierpfad beschränkt und nicht den breiteren Zilliqa-Stack betrifft.
Warum das wichtig ist
Eine Schwachstelle zur Wiederherstellung privater Schlüssel in einer Hardware-Wallet-Integration gehört zur schlimmsten Fehlerkategorie für diese Geräteklasse: Das zentrale Versprechen einer Hardware-Wallet lautet, dass der Schlüssel das Secure Element nie verlässt. Kann ein Angreifer aus einer einzigen Signatur einen privaten Schlüssel rekonstruieren, sind alle früheren und künftigen Signaturen desselben Geräts offengelegt. Dass die Schwachstelle seit 2019 in der Ledger-App steckt, bedeutet, dass nun ein mehrjähriges Fenster von Signaturen rückwirkend angreifbar sein könnte, nicht nur neu erzeugte Signaturen.
Marktauswirkung
Zilliqas Stopp nativer Transaktionen ist die operative Reaktion: Signieren pausieren, neue Transaktionen stoppen, vor weiteren Signaturen der Nutzer einen Fix erzwingen. Inhaber sollten jede ZIL-Adresse, die jemals eine native Transaktion auf einem Ledger signiert hat, als kompromittiert behandeln, bis die gepatchte App ausgeliefert ist und Schlüssel migriert wurden. Der Vorfall erinnert zudem daran, dass Supply-Chain-Bugs in Wallet-Integrationen mehrere Firmware-Zyklen überdauern und erst sichtbar werden können, wenn jemand den Wiederherstellungspfad tatsächlich prüft.
Häufig gestellte Fragen
-
Was hat Zilliqa über seine Ledger-App offengelegt?
Zilliqa hat einen Bug in seiner Ledger-App offengelegt, der bis ins Jahr 2019 zurückreicht und die Wiederherstellung privater Schlüssel aus betroffenen Onchain-Signaturen ermöglicht. Als Reaktion wurden native Transaktionen ausgesetzt.
-
Sind EVM-Transaktionen auf Zilliqa von dem Bug betroffen?
Nein. Die Schwachstelle betrifft native ZIL-Transaktionen, die mit Ledger-Geräten signiert wurden, während EVM-Transaktionen und Zilliqa SDKs unberührt bleiben.
-
Wie lange besteht die Schwachstelle in der Ledger-App schon?
Der Bug reicht bis ins Jahr 2019 zurück. Betroffene Geräte könnten damit seit rund sechs Jahren wiederherstellbare private Schlüssel aus Onchain-Signaturen offengelegt haben.
-
Was sollten Zilliqa-Nutzer mit Ledger-Geräten tun?
Sie sollten jede ZIL-Adresse, die jemals eine native Transaktion auf einem Ledger signiert hat, als kompromittiert behandeln, bis die gepatchte App ausgeliefert ist. Danach sollten Gelder auf eine frische Adresse mit neuem Schlüssel migriert werden.
-
Warum ist eine Schwachstelle zur Schlüsselwiederherstellung für Hardware-Wallets so schwerwiegend?
Das Kernversprechen einer Hardware-Wallet ist, dass der private Schlüssel das Secure Element nie verlässt. Eine Schwachstelle, die den Schlüssel aus einer einzigen Signatur rekonstruiert, hebt diese Garantie auf und legt alle früheren und künftigen Signaturen des Geräts offen.
WuBlockchain
CoinDesk
WatcherGuru
CryptoSlate
Lookonchain