Eine Sicherheitslücke in der Zilliqa-Ledger-App könnte es Angreifern ermöglichen, private Schlüssel mithilfe öffentlich zugänglicher Onchain-Daten zu rekonstruieren. Der Fehler bedeutet, dass jeder mit Zugriff auf die Blockchain potenziell den geheimen Schlüssel ableiten kann, der ein Zilliqa-Wallet des Benutzers steuert. Dadurch sind alle Zilliqa-Token, die in von der App verwalteten Wallets gehalten werden, von Diebstahl bedroht.
Wie die Sicherheitslücke funktioniert
Die Zilliqa-Ledger-App ist darauf ausgelegt, private Schlüssel sicher in einer Hardware-Wallet aufzubewahren. Ein Fehler in der Implementierung der App gibt jedoch genügend Informationen durch die von ihr signierten Transaktionen preis. Durch die Analyse der Onchain-Daten – die von Natur aus öffentlich sind – kann ein Angreifer den privaten Schlüssel zurückentwickeln. Der genaue Mechanismus wurde nicht im Detail offengelegt, aber das Kernproblem besteht darin, dass die kryptografischen Operationen der App das Schlüsselmaterial nicht richtig von den erzeugten Daten isolieren.
Dies ist kein theoretisches Risiko. Die Sicherheitslücke wurde von Sicherheitsforschern bestätigt, die demonstrierten, dass ein privater Schlüssel aus einer Handvoll signierter Transaktionen wiederhergestellt werden kann. Der Angriff erfordert weder physischen Zugriff auf das Gerät noch spezielle Ausrüstung – lediglich die öffentlichen Blockchain-Aufzeichnungen.
Was auf dem Spiel steht
Private Schlüssel sind der einzelne Fehlerpunkt in der Kryptowährungssicherheit. Jeder, der einen privaten Schlüssel erhält, kann ohne weitere Authentifizierung alle Gelder aus dem zugehörigen Wallet übertragen. Für Benutzer der Zilliqa-Ledger-App bedeutet dies, dass ihre ZIL-Token – sowie alle anderen ZRC-2-Token im Zilliqa-Netzwerk – sofort abgezogen werden könnten.
Die Sicherheitslücke betrifft alle bisher veröffentlichten Versionen der App. Es ist unklar, wie viele Benutzer betroffen sind, aber das Zilliqa-Ökosystem verfügt über eine beträchtliche Anzahl aktiver Wallets. Die App ist die primäre Methode zur Verwaltung von Zilliqa-Vermögenswerten auf Ledger-Hardware-Wallets, die zu den beliebtesten Cold-Storage-Geräten gehören.
Was Benutzer tun sollten
Bis ein Fix bestätigt ist, ist der sicherste Schritt, die Zilliqa-Ledger-App vollständig nicht mehr zu verwenden. Benutzer sollten ihre Zilliqa-Token auf ein Wallet übertragen, das nicht mit der anfälligen App verbunden ist – zum Beispiel ein Software-Wallet mit einer neuen Seed-Phrase oder eine andere Hardware-Wallet, die Zilliqa unterstützt. Nach der Übertragung der Gelder sollten die kompromittierten privaten Schlüssel als offengelegt betrachtet und niemals wiederverwendet werden.
Bislang haben weder Zilliqa noch Ledger eine offizielle Stellungnahme zu der Sicherheitslücke abgegeben. Es ist nicht bekannt, ob ein Patch in Entwicklung ist oder ob bereits einer stillschweigend bereitgestellt wurde. Benutzer sollten regelmäßig nach App-Updates suchen und die App erst wieder verwenden, wenn beide Unternehmen bestätigen, dass das Problem behoben ist.
Ob die Sicherheitslücke bereits aktiv in freier Wildbahn ausgenutzt wurde, bleibt eine offene Frage. Bisher sind keine Berichte über gestohlene Gelder aufgetaucht, aber das könnte sich schnell ändern. Die für den Angriff benötigten Onchain-Daten sind bereits vorhanden.
