Zilliqa alerta para vulnerabilidade crítica em app Ledger que expõe chaves privadas

A vulnerabilidade no aplicativo Zilliqa para Ledger expõe um ponto fraco crítico em segurança criptográfica: a falha na geração de nonces efêmeros verdadeiramente aleatórios. Numa assinatura digital, um nonce (number used once) precisa ser único e imprevisível. Se esse nonce é gerado de forma previsível, como detectado aqui, um atacante pode usar múltiplos pares de mensagem e assinatura (cada transação ZIL assinada com o Ledger) para reverter a matemática e calcular a chave privada original. A Zilliqa alertou que cinco ou mais transações nativas de ZIL assinadas no Ledger já bastariam para essa inferência.

Este cenário ecoa problemas anteriores no espaço cripto. A cobertura do CEVIU sobre a vulnerabilidade 'Ill Bloom', reportada em 11 de julho de 2026, descreveu um ataque onde um gerador de números pseudorrandômicos inseguro (PRNG) também permitia a derivação de chaves privadas. Ambos os casos destacam como falhas na aleatoriedade criptográfica, seja por nonces fracos ou PRNGs falhos, criam vetores de ataque devastadores para custódia de ativos digitais.

Esta notícia reforça uma preocupação que já estava no radar do CEVIU News: a vulnerabilidade de sistemas criptográficos a problemas de aleatoriedade. A falha no app Zilliqa para Ledger não é uma evolução de um ataque anterior à Ledger ou Zilliqa especificamente, mas sim uma manifestação de um vetor de ataque bem conhecido. A vulnerabilidade 'Ill Bloom', destacada em nossa cobertura de 11 de julho de 2026, já havia mostrado o perigo de geradores de números aleatórios inseguros. O caso atual confirma que a atenção à qualidade da aleatoriedade em implementações criptográficas continua sendo uma área crítica e frequentemente negligenciada, mesmo em hardware de segurança.

Este incidente abala a confiança em soluções de hardware wallet, especialmente aquelas que deveriam oferecer o mais alto nível de segurança. Para os usuários, a exposição das chaves privadas é o pior cenário possível, significando a perda total dos fundos custodiados. Para o ecossistema Zilliqa, a vulnerabilidade pode impactar a credibilidade e o preço do token ZIL, além de exigir um plano de remediação urgente e coordenado com a Ledger. Mais amplamente, serve como um lembrete severo de que a segurança criptográfica é tão forte quanto seu elo mais fraco, e que a aleatoriedade deve ser auditada e implementada com o máximo rigor.