Zilliqa suspendió las transacciones nativas tras revelar un fallo en su app de Ledger que data de 2019 y que permite recuperar claves privadas a partir de firmas onchain afectadas.
El fallo afecta a las transacciones nativas de ZIL firmadas con dispositivos Ledger. Las transacciones EVM y los SDKs de Zilliqa no se ven afectados, lo que reduce el radio de impacto a una ruta de firma concreta y no al stack de Zilliqa en general.
Por qué importa
Un fallo de recuperación de claves privadas en una integración de monedero hardware es la peor categoría de error para ese tipo de dispositivo: toda la propuesta de valor de un hardware wallet es que la clave nunca sale del elemento seguro. Si un atacante puede reconstruir una clave privada a partir de una sola firma, quedan expuestas todas las firmas pasadas y futuras del mismo dispositivo. El hecho de que el fallo haya estado en la app de Ledger desde 2019 significa que ahora podría atacarse retroactivamente una ventana de firmas de varios años, no solo las generadas recientemente.
Impacto en el mercado
La suspensión nativa de Zilliqa es la respuesta operativa: pausar la firma, detener las nuevas transacciones y forzar una corrección antes de que los usuarios vuelvan a firmar. Los titulares deberían tratar cualquier dirección ZIL que haya firmado alguna vez una transacción nativa en un Ledger como comprometida hasta que se publique la app parcheada y se migren las claves. El episodio también recuerda que los fallos de cadena de suministro en integraciones de monederos pueden sobrevivir a varios ciclos de firmware y solo aflorar cuando alguien audita de verdad la ruta de recuperación.
Preguntas frecuentes
-
¿Qué reveló Zilliqa sobre su app de Ledger?
Zilliqa reveló un fallo en su app de Ledger que data de 2019 y permite recuperar claves privadas a partir de firmas onchain afectadas, y suspendió las transacciones nativas en respuesta.
-
¿Las transacciones EVM de Zilliqa están afectadas por el fallo?
No. El fallo afecta a las transacciones nativas de ZIL firmadas con dispositivos Ledger, mientras que las transacciones EVM y los SDKs de Zilliqa no se ven afectados.
-
¿Cuánto tiempo lleva presente la vulnerabilidad de la app de Ledger?
El fallo data de 2019, así que los dispositivos afectados podrían haber estado exponiendo claves privadas recuperables a partir de firmas onchain durante unos seis años.
-
¿Qué deben hacer los usuarios de Zilliqa con dispositivos Ledger?
Deben tratar cualquier dirección ZIL que haya firmado alguna vez una transacción nativa en un Ledger como comprometida hasta que se publique la app parcheada y luego migrar los fondos a una dirección nueva con una clave nueva.
-
¿Por qué es tan grave un fallo de recuperación de claves en monederos hardware?
La promesa central de un monedero hardware es que la clave privada nunca sale del elemento seguro. Un fallo que reconstruye la clave a partir de una sola firma rompe esa garantía y expone todas las firmas pasadas y futuras del dispositivo.
WuBlockchain
CoinDesk
WatcherGuru
CryptoSlate
Lookonchain