Zilliqa Menghadapi Dampak Dari Cacat Kritis pada Dompet Ledger

• Zilliqa menangguhkan transaksi native setelah mengidentifikasi kerentanan kritis pada aplikasi dompet Ledger-nya.
• Kelemahan tersebut dapat memungkinkan penyerang merekonstruksi kunci privat dari tanda tangan transaksi yang dihasilkan selama beberapa tahun.
• Bursa membatasi transfer ZIL sementara jaringan menyiapkan instruksi pemulihan untuk pengguna yang terdampak.
• Masalah ini terbatas pada aplikasi native Ledger Zilliqa dan tidak memengaruhi perangkat keras Ledger atau jaringan EVM.

Zilliqa telah menangguhkan semua transaksi native (non-EVM) setelah mengonfirmasi kerentanan keamanan kritis pada aplikasi dompet perangkat keras Ledger-nya, sebuah celah yang dapat memungkinkan penyerang memulihkan kunci privat pengguna dari tanda tangan blockchain yang tersedia untuk publik. Langkah darurat ini muncul saat proyek bekerja sama dengan peneliti keamanan dan bursa untuk menahan insiden tersebut serta mengembangkan proses pemulihan bagi pengguna yang berpotensi terdampak. Menurut pengumuman di X, kerentanan ini terbatas pada blockchain native Zilliqa dan tidak berdampak pada jaringan yang kompatibel dengan EVM. Perangkat keras Ledger itu sendiri juga tetap tidak terpengaruh, dengan masalah yang terkunci pada implementasi perangkat lunak aplikasi Ledger Zilliqa. Investigasi menelusuri celah ke bug kriptografi berusia bertahun-tahun Menurut Zilliqa, kerentanan berawal dari kesalahan implementasi dalam penggunaan skema tanda tangan Schnorr, skema kriptografi yang digunakan untuk mengotorisasi transaksi native.

Saat investigasi kami berkembang, kami ingin mengklarifikasi satu poin penting:

Pada tahap ini, kami belum menemukan bukti bahwa insiden tersebut disebabkan oleh manajemen dompet atau proses operasional bursa. Kami menghargai kerja sama bursa dalam mengidentifikasi… https://t.co/i6UQ62m4CM

— Zilliqa (@zilliqa) 20 Juli 2026

Alih-alih menghasilkan nonce yang benar-benar acak untuk setiap tanda tangan, terjadi kesalahan penyalinan buffer yang menyebabkan 64 bit tertinggi dari setiap nonce ditimpa menjadi nol. Ini secara signifikan mengurangi keacakan yang melindungi setiap tanda tangan, sehingga menciptakan kondisi di mana penyerang dapat merekonstruksi kunci privat menggunakan teknik reduksi lattice setelah mengamati cukup banyak transaksi di on-chain. Proyek tersebut menyatakan kode yang rentan telah ada di setiap versi aplikasi Ledger Zilliqa sejak rilis awalnya pada 2019, artinya celah tersebut tidak terdeteksi selama hampir enam tahun. Investigasi dipercepat setelah aktivitas mencurigakan di on-chain terdeteksi pada 19 Juli. Bekerja bersama mitra bursa, termasuk KuCoin, para insinyur menelusuri serangan ke proses penandatanganan aplikasi Ledger sebelum secara publik mengonfirmasi kerentanan pada 21 Juli. Sehari kemudian, Zilliqa menangguhkan semua transaksi native saat upaya mitigasi dimulai. Hanya kelompok pengguna tertentu yang dianggap berisiko Kerentanan ini tidak memengaruhi setiap pemegang ZIL secara setara. Berdasarkan panduan proyek, kelompok dengan risiko tertinggi mencakup pengguna yang:

• Menggunakan perangkat Ledger untuk transaksi ZIL native (non-EVM).
• Menandatangani transaksi antara 2019 dan Juli 2026.
• Menghasilkan sekitar lima atau lebih tanda tangan dengan kunci privat yang sama.

Proyek menekankan bahwa beberapa bagian dari ekosistemnya tetap tidak terdampak:

• Perangkat keras Ledger tidak disusupi.
• Blockchain EVM-kompatibel Zilliqa terus beroperasi normal.
• Dompet perangkat lunak tidak terpengaruh oleh kerentanan tersebut.

Zilliqa mendesak pengguna yang berpotensi terdampak untuk tidak memindahkan dana atau mencoba pemulihan independen sampai instruksi migrasi resmi dipublikasikan, dengan peringatan bahwa tindakan yang terlalu cepat dapat menyulitkan proses pemulihan. Bursa bergerak cepat untuk menahan potensi dampak Pengungkapan tersebut memicu tindakan segera di seluruh platform perdagangan mata uang kripto. Upbit Korea Selatan mengklasifikasikan ZIL sebagai aset kehati-hatian, menangguhkan setoran dan penarikan, serta menempatkan token tersebut dalam peninjauan delisting hingga pertengahan Agustus di bawah kerangka perlindungan investor negara tersebut. Bursa terpusat lainnya juga sementara membatasi transfer native ZIL saat mengevaluasi potensi dampak dari kerentanan aplikasi Ledger dan laporan pencurian terpisah yang melibatkan ZIL yang disimpan di cold wallet offline yang dikelola oleh salah satu mitra bursa dalam ekosistem. Meskipun kedua insiden tersebut berbeda, timing yang berdekatan memperkuat kekhawatiran di seluruh pasar. Sentimen investor memburuk setelah pengungkapan. ZIL turun sekitar 5% dalam 24 jam sebelumnya dan sekitar 17% sepanjang minggu lalu, jatuh ke sekitar $0,0024 saat para trader menilai skala insiden keamanan. Pemulihan Sekarang Bergantung pada Penggantian Dompet yang Terpapar Berbeda dengan banyak kerentanan perangkat lunak, insiden ini melampaui penerapan aplikasi yang dipatch. Karena tanda tangan transaksi yang rentan sudah tercatat permanen di blockchain, memperbarui aplikasi Ledger tidak dapat menghilangkan paparan yang terkait dengan tanda tangan yang dibuat selama enam tahun terakhir. Tahap respons berikutnya, karena itu, akan berfokus pada migrasi pengguna yang terdampak ke dompet baru yang dibuat, bukan memulihkan dompet yang telah dikompromikan. Proses tersebut diperkirakan memerlukan koordinasi antara Zilliqa, Ledger, bursa mata uang kripto, dan pemegang dompet sebelum aktivitas jaringan native dapat sepenuhnya kembali normal.