Une faille dans l’application Ledger de Zilliqa a exposé au moins 6 772 comptes et permis le vol de 683 130 969,66 ZIL, soit environ 683 millions de ZIL, au cours de 66 transactions réussies. Le défaut technique provenait de la copie de 32 octets incorrects dans le tampon de signature, ce qui annulait huit octets d’entropie et forçait les 64 bits supérieurs de chaque nonce à zéro. Quatre signatures biaisées ou plus, générées pour le même compte par l’application legacy, suffisaient à reconstruire sa clé privée à partir de données publiques de la blockchain en quelques secondes. La première transaction frauduleuse prouvée date du 4 mars, KuCoin a signalé des anomalies le 19 juillet et Zilliqa a désactivé les transactions legacy le lendemain à 12h59 UTC, tandis que la migration vers Zilliqa EVM reste en attente d’un audit de sécurité externe.
Source: Lire l’article original
