Zilliqa a suspendu les transactions natives après avoir révélé un bug dans son app Ledger datant de 2019, qui permet de récupérer des clés privées à partir des signatures on-chain concernées.
La faille touche les transactions ZIL natives signées avec des appareils Ledger. Les transactions EVM et les SDKs de Zilliqa restent indemnes, ce qui limite le périmètre à un chemin de signature précis plutôt qu’à l’ensemble de la pile Zilliqa.
Pourquoi c’est important
Une faille de récupération de clé privée dans une intégration de portefeuille matériel est la pire catégorie de bug pour ce type d’appareil. L’idée même d’un hardware wallet est que la clé ne quitte jamais l’élément sécurisé. Si un attaquant peut reconstruire une clé privée à partir d’une seule signature, toutes les signatures passées et futures du même appareil sont exposées. Le fait que la faille soit présente dans l’app Ledger depuis 2019 signifie qu’une fenêtre de plusieurs années de signatures peut désormais être attaquée a posteriori, pas seulement les nouvelles.
Impact sur le marché
La suspension des transactions natives est la réponse opérationnelle de Zilliqa. Elle consiste à arrêter la signature, bloquer les nouvelles transactions et imposer une correction avant que les utilisateurs ne signent à nouveau. Les détenteurs doivent considérer toute adresse ZIL ayant déjà signé une transaction native sur Ledger comme compromise jusqu’au déploiement de l’application corrigée et la migration des clés. L’épisode rappelle aussi que des bugs de chaîne d’approvisionnement dans les intégrations de portefeuille peuvent survivre à plusieurs cycles de firmware et n’apparaître que lorsqu’une analyse du chemin de récupération est enfin menée.
Questions fréquemment posées
-
Qu’a révélé Zilliqa au sujet de son app Ledger ?
Zilliqa a révélé un bug dans son app Ledger datant de 2019, qui permet de récupérer des clés privées à partir des signatures on-chain concernées, puis a suspendu les transactions natives en réponse.
-
Les transactions EVM sur Zilliqa sont-elles affectées par le bug ?
Non. La faille touche les transactions ZIL natives signées avec des appareils Ledger, tandis que les transactions EVM et les SDKs de Zilliqa restent indemnes.
-
Depuis combien de temps la vulnérabilité de l’app Ledger existe-t-elle ?
Le bug date de 2019, ce qui signifie que des appareils concernés ont pu exposer des clés privées récupérables à partir de signatures on-chain pendant environ six ans.
-
Que doivent faire les utilisateurs de Zilliqa avec des appareils Ledger ?
Ils doivent considérer toute adresse ZIL ayant déjà signé une transaction native sur Ledger comme compromise jusqu’au déploiement de l’application corrigée, puis migrer les fonds vers une nouvelle adresse avec une nouvelle clé.
-
Pourquoi une faille de récupération de clé est-elle si grave pour les portefeuilles matériels ?
La promesse centrale d’un portefeuille matériel est que la clé privée ne quitte jamais l’élément sécurisé. Une faille qui reconstruit la clé à partir d’une seule signature casse cette garantie et expose toutes les signatures passées et futures de l’appareil.
WuBlockchain
CoinDesk
WatcherGuru
CryptoSlate
CoinTelegraph