เหรียญ ZIL ถูกขโมยกว่า 683 ล้านเหรียญ จากช่องโหว่แอปซิลลิควาบน Ledger

ซิลลิควา(Zilliqa, ZIL) เปิดเผยว่าช่องโหว่ในแอปพลิเคชันซิลลิควาสำหรับกระเป๋าฮาร์ดแวร์ Ledger ทำให้มีการขโมยเหรียญไปทั้งสิ้น 683,130,969.66 ZIL โดยพบว่ามีบัญชีที่ข้อมูลรั่วไหลทั้งหมด 6,772 บัญชี และมีบัญชีที่ถูกโอนสินทรัพย์ออกไปจริง 51 บัญชี

ในรายงานวิเคราะห์เหตุการณ์ที่เผยแพร่เมื่อวันที่ 20 สิงหาคม ซิลลิควาระบุว่าสาเหตุมาจากความผิดพลาดในการจัดการค่า nonce ตามระบบชโนร์(Schnorr) ซึ่งใช้ในการเซ็นธุรกรรมแบบเก่าที่ไม่ใช่ EVM (non-EVM) จนนำไปสู่การรั่วไหลของกุญแจส่วนตัว รายงานอธิบายว่าในขั้นตอนที่แอปสร้างเลขสุ่มแล้วคัดลอกไปยังบัฟเฟอร์สำหรับเซ็นชื่อ ระบบได้ทิ้งข้อมูลเอนโทรปีจริงไป 8 ไบต์ และเติมค่า 0 แทนอีก 8 ไบต์ ส่งผลให้ผู้ไม่หวังดีสามารถคำนวณย้อนกลับหากุญแจส่วนตัวได้เพียงจากลายเซ็นธุรกรรมที่ปรากฏบนบล็อกเชนสาธารณะเท่านั้น

ซิลลิควาระบุว่าการโจรกรรมครั้งนี้ได้รับการยืนยันครั้งแรกเมื่อวันที่ 4 มีนาคม แต่เหตุการณ์เพิ่งถูกเปิดเผยเมื่อวันที่ 19 กรกฎาคม หลังจากที่ คูคอยน์(KuCoin) รายงานธุรกรรมถอนเงินที่ผิดปกติจากกระเป๋าเย็นของตนเอง จากนั้นซิลลิควาได้ระงับการทำธุรกรรมแบบเก่าในวันที่ 20 กรกฎาคม และทีมวิศวกรของ Ledger ได้รวมแพตช์แก้ไขเข้าระบบสำเร็จเมื่อวันที่ 27 กรกฎาคม

ซิลลิควายืนยันว่าวลีกู้คืนบัญชี (recovery phrase) ของผู้ใช้ไม่ได้รั่วไหล และสินทรัพย์บล็อกเชนอื่นบนอุปกรณ์เดียวกันไม่ได้อยู่ในความเสี่ยงจากช่องโหว่นี้ อย่างไรก็ตาม บริษัทระบุว่ากุญแจของบัญชีแบบเก่าที่เคยใช้เซ็นธุรกรรมไปแล้วควรถือว่ารั่วไหลอย่างถาวร และผู้ใช้ควรยุติการใช้งานบัญชีเหล่านั้นโดยเร็ว