شبکه زیلیکا (Zilliqa) پس از شناسایی یک آسیب‌پذیری امنیتی حیاتی در اپلیکیشن اختصاصی لجر (Ledger) خود، تمامی تراکنش‌های بومی این شبکه را به حالت تعلیق درآورد. این باگ که از سال ۲۰۱۹ در کدهای این برنامه وجود داشته، به مهاجمان اجازه می‌دهد تنها با دسترسی به پنج امضای دیجیتال که در تراکنش‌های عمومی ثبت شده‌اند، کلید خصوصی کاربر را در کمتر از چند ثانیه بازسازی کنند.
فهرست مطالب
کیف پول لجر و باگ هفت‌ساله؛ چرا کلیدهای خصوصی در خطرند؟
طبق گزارش‌ها، قیمت زیلیکا و امنیت دارایی‌های کاربران تحت تأثیر این نقص فنی قرار گرفته است. این مشکل فنی به نحوه تولید «نانس» (Nonce) در امضاهای اشنور (Schnorr) مربوط می‌شود. در طول هفت سال گذشته، اپلیکیشن لجر زیلیکا به جای تولید اعداد کاملاً تصادفی، مقدار کافی از آنتروپی را در محاسبات لحاظ نمی‌کرد و بخش بزرگی از بیت‌های امضا را صفر باقی می‌گذاشت.
صرافی کوکوین اولین نهادی بود که این فعالیت مشکوک را در شبکه شناسایی و به تیم زیلیکا گزارش داد. بررسی‌ها نشان داد که مهاجمان از تاریخ ۱۹ ژوئیه در حال بهره‌برداری فعال از این باگ بوده‌اند.
خطر سرقت دارایی‌ها در زمان انتقال
زیلیکا هشدار داده است که حتی پس از رفع باگ در نسخه جدید اپلیکیشن، کلیدهای خصوصی که پیش از این پنج تراکنش یا بیشتر انجام داده‌اند، برای همیشه ناامن تلقی می‌شوند. نکته بحرانی این است که اگر کاربران اقدام به انتقال دارایی‌های خود به آدرس‌های جدید کنند، مهاجمانی که پیش‌تر کلید خصوصی را بازسازی کرده‌اند، می‌توانند با استفاده از تکنیک «Front-run»، تراکنش کاربر را شناسایی کرده و زودتر از آن‌ها موجودی کیف پول را تخلیه کنند.
وضعیت فعلی و اقدامات پیشگیرانه
در حال حاضر تیم توسعه‌دهنده زیلیکا در حال تدوین یک طرح هماهنگ برای مهاجرت امن دارایی‌های کاربران است. این شبکه تأکید کرد که تراکنش‌های مبتنی بر ماشین مجازی اتریوم (EVM) و همچنین کیف پول‌هایی که از بسترهای نرم‌افزاری مانند SDKهای رسمی استفاده کرده‌اند، کاملاً امن هستند و این نقص تنها محدود به امضاهای بومی تولید شده توسط دستگاه‌های لجر است.
به کاربران توصیه شده است تا انتشار دستورالعمل رسمی، هیچ‌گونه تلاشی برای جابه‌جایی دارایی‌های خود انجام ندهند.
باگ کیف پول لجر چگونه کلید خصوصی را بازمی‌سازد؟
این مشکل فنی به نحوه تولید «نانس» (Nonce) در امضاهای اشنور (Schnorr) مربوط می‌شود. در طول هفت سال گذشته، اپلیکیشن لجر زیلیکا به جای تولید اعداد کاملاً تصادفی، مقدار کافی از آنتروپی را در محاسبات لحاظ نمی‌کرد و بخش بزرگی از بیت‌های امضا را صفر باقی می‌گذاشت.
نتیجه این نقص آن است که مهاجمان تنها با دسترسی به پنج امضای دیجیتال که در تراکنش‌های عمومی ثبت شده‌اند، می‌توانند کلید خصوصی کاربر را در کمتر از چند ثانیه بازسازی کنند. همین موضوع باعث شد شبکه زیلیکا تمامی تراکنش‌های بومی خود را به حالت تعلیق درآورد.
باگ کیف پول لجر چگونه شناسایی شد؟
صرافی کوکوین اولین نهادی بود که این فعالیت مشکوک را در شبکه شناسایی و به تیم زیلیکا گزارش داد. بررسی‌ها نشان داد که مهاجمان از تاریخ ۱۹ ژوئیه در حال بهره‌برداری فعال از این باگ بوده‌اند.
طبق گزارش‌ها، قیمت زیلیکا و امنیت دارایی‌های کاربران تحت تأثیر این نقص فنی قرار گرفته است. این رخداد نشان می‌دهد که آسیب‌پذیری در لایه امضای تراکنش می‌تواند مستقل از امنیت فیزیکی دستگاه، دارایی کاربران را در معرض خطر قرار دهد.
چرا کلیدهای خصوصی قدیمی برای همیشه ناامن تلقی می‌شوند؟
زیلیکا هشدار داده است که حتی پس از رفع باگ در نسخه جدید اپلیکیشن، کلیدهای خصوصی که پیش از این پنج تراکنش یا بیشتر انجام داده‌اند، برای همیشه ناامن تلقی می‌شوند. دلیل این هشدار آن است که امضاهای عمومی ثبت‌شده در گذشته همچنان در دسترس مهاجمان قرار دارند.
نکته بحرانی این است که اگر کاربران اقدام به انتقال دارایی‌های خود به آدرس‌های جدید کنند، مهاجمانی که پیش‌تر کلید خصوصی را بازسازی کرده‌اند، می‌توانند با تکنیک «Front-run» تراکنش کاربر را شناسایی کرده و زودتر از آن‌ها موجودی کیف پول را تخلیه کنند. به همین دلیل به کاربران توصیه شده تا انتشار دستورالعمل رسمی، هیچ‌گونه تلاشی برای جابه‌جایی دارایی‌های خود انجام ندهند.
کدام کیف پول‌ها در امان هستند؟
این شبکه تأکید کرد که تراکنش‌های مبتنی بر ماشین مجازی اتریوم (EVM) و همچنین کیف پول‌هایی که از بسترهای نرم‌افزاری مانند SDKهای رسمی استفاده کرده‌اند، کاملاً امن هستند. این نقص تنها محدود به امضاهای بومی تولید شده توسط دستگاه‌های لجر است.
در حال حاضر تیم توسعه‌دهنده زیلیکا در حال تدوین یک طرح هماهنگ برای مهاجرت امن دارایی‌های کاربران است؛ طرحی که باید بدون فراهم کردن فرصت برای پیش‌دستی مهاجمان اجرا شود.
بیشتر بخوانید: رکورد فروش کیف پول لجر همزمان با موج جدید هک‌های کریپتویی
برای پیگیری گزارش‌های بین‌المللی این موضوع می‌توانید اطلاعات شرکت لجر در ویکی‌پدیا را دنبال کنید.
پرسش‌های متداول
باگ کیف پول لجر چه ارتباطی با زیلیکا دارد؟
این آسیب‌پذیری در اپلیکیشن اختصاصی لجر برای شبکه زیلیکا شناسایی شد؛ به همین دلیل زیلیکا تمامی تراکنش‌های بومی خود را به حالت تعلیق درآورد.
مهاجمان با چند امضا می‌توانند کلید خصوصی را بازسازی کنند؟
تنها با دسترسی به پنج امضای دیجیتال که در تراکنش‌های عمومی ثبت شده‌اند؛ در چنین شرایطی بازسازی کلید خصوصی کمتر از چند ثانیه زمان می‌برد.
آیا به‌روزرسانی اپلیکیشن مشکل را برای همه حل می‌کند؟
نه؛ زیلیکا هشدار داده کلیدهای خصوصی که پیش از این پنج تراکنش یا بیشتر انجام داده‌اند برای همیشه ناامن تلقی می‌شوند، حتی پس از رفع باگ در نسخه جدید.
چرا انتقال فوری دارایی‌ها توصیه نمی‌شود؟
زیرا مهاجمانی که کلید خصوصی را بازسازی کرده‌اند می‌توانند با تکنیک Front-run تراکنش کاربر را شناسایی کرده و زودتر موجودی کیف پول را تخلیه کنند؛ تا انتشار دستورالعمل رسمی نباید اقدامی انجام شود.
جمع‌بندی
باگ هفت‌ساله در کیف پول لجر زیلیکا نشان داد که حتی یک خطای ظاهراً کوچک در تولید نانس امضاهای اشنور می‌تواند امنیت کلید خصوصی را به‌طور کامل تحت تأثیر قرار دهد. تعلیق تراکنش‌های بومی، هشدار درباره کلیدهای قدیمی و خطر Front-run در زمان انتقال، سه نکته کلیدی این ماجراست. تا انتشار طرح مهاجرت رسمی، امن‌ترین اقدام برای کاربران، نگه داشتن دارایی‌ها در جای فعلی و پرهیز از جابه‌جایی خودسرانه است.