질리카(Zilliqa)는 레저(Ledger)용 질리카 애플리케이션 결함으로 6억8313만969.66 ZIL 탈취가 입증됐다고 밝혔다. 노출된 계정은 6772개, 실제 자금이 빠져나간 계정은 51개로 집계됐다.
질리카는 20일 공개한 사후 분석 보고서에서 레거시 비EVM 거래 서명에 쓰인 슈노르(Schnorr) nonce 처리 오류가 개인키 노출로 이어졌다고 밝혔다. 보고서는 애플리케이션이 난수를 만든 뒤 서명 버퍼에 복사하는 과정에서 8바이트의 실제 엔트로피를 버리고 8바이트의 0 패딩을 남겨, 공개 블록체인 서명만으로 개인키를 재구성할 수 있었다고 설명했다.
질리카는 탈취가 3월 4일 처음 입증됐고 7월 19일 쿠코인(KuCoin)이 자체 콜드월렛의 이상 출금 거래를 보고하면서 사건이 드러났다고 밝혔다. 질리카는 7월 20일 레거시 거래를 중단했고, 7월 27일 레저 엔지니어가 수정 패치를 병합했다고 밝혔다.
질리카는 복구 문구가 노출된 것은 아니며 같은 기기의 다른 블록체인 자산은 이번 결함의 위험 대상이 아니라고 밝혔다. 다만 이미 서명한 레거시 계정 키는 영구적으로 노출된 것으로 보고 은퇴해야 한다고 설명했다.
<저작권자 ⓒ TokenPost, 무단전재 및 재배포 금지>
많이 본 기사