Zilliqa:地址检测工具已上线,迁移工具审计即将启动
相关推荐
Zilliqa Ledger 应用存在随机数生成漏洞,签署 5 笔及以上原生交易的账户或被攻破
Foresight News 消息,Zilliqa 发文披露其 Ledger 应用存在严重漏洞,影响原生(非 EVM)Zilliqa 交易的 Schnorr 签名生成。该漏洞存在于 2019 年至 2026 年间发布的所有版本 Zilliqa Ledger 应用中,7 月 19 日发现链上疑似主动利用迹象,7 月 21 日确认根因。该漏洞导致签名时使用的临时随机数(nonce)可被预测,攻击者仅凭链上公开数据即可还原签名者私钥。Zilliqa 提醒,曾使用 Ledger 设备签署原生 Zilliqa 交易的用户应等待官方指引,暂勿采取任何独立行动。 漏洞根因在于签名程序在将随机数写入缓冲区时复制了错误的字节范围,导致每个生成的随机数最高 64 位固定为零,熵值严重不足。利用 5 笔或以上受影响签名,攻击者可通过 lattice reduction 在数秒内还原私钥。由于受影响交易已永久记录在链上,更新签名应用无法逆转此风险,相关私钥必须废弃。目前原生交易已暂停以防止进一步损失,协调修复方案正在最终确认中。EVM 交易及 zilliqa-js、gozilliqa-sdk、pyzil 等 SDK 不受影响。
Cross River 将 RLUSD 接入核心银行系统,支持通过 XRP Ledger 交易
Foresight News 消息,技术基础设施平台 Cross River Bank 宣布已与 Ripple 合作,将美元稳定币 RLUSD 接入其核心银行系统,并支持通过 XRP Ledger(XRPL)进行交易。Cross River 表示,金融科技客户可通过单一 API 使用 RLUSD 支付,并在美元与 RLUSD 之间转移资金,支持全天候跨境支付和资金结算。目前相关服务仅在部分州提供。
Ledger 加强经销商设备管理:退货设备不得再次出售,产品须撤离货架及展示架
Foresight News 消息,加密硬件钱包制造商 Ledger 发文称正在加强授权经销商对 Ledger 设备的管理,今日已向授权经销商和分销商发送提醒,重申适用于退货设备的现有规则:即使外观全新且未开封,退货设备也绝不能以任何形式再次出售。此外,其要求立即采取以下新措施:Ledger 产品不得再摆放在货架或展示架上,库存应存放于仓库,并在购买时交付。 Ledger 表示,Ledger 的芯片、操作系统和服务器均无任何缺陷。Ledger 的系统并未遭到入侵。这是设备离开我们控制范围后,针对分销渠道的攻击。
Ledger:正加强硬件钱包防篡改流程,无论设备从何处购买用户可自行检查
Foresight News 消息,针对社区用户关于 Ledger 硬件钱包可能遭篡改、用户无法判断设备是否受影响的质疑,Ledger 回应称,「随着安全威胁不断演变,其正在加强防篡改流程,并与官方经销商合作,确保相关措施得到一致执行。无论设备从何处购买,用户均可按照官方教程自行检查,或通过官方渠道联系 Ledger 客服。」 Ledger 同时提醒,其不会致电、发送私信或索取用户的 24 个助记词;任何提出此类要求的人均为诈骗者。用户应保持警惕,并尽可能通过 Clear Signing 功能核验交易内容。
慢雾 CISO 推测 Ledger 设备被攻击路径:旁路录屏助记词后再外传
Foresight News 消息,慢雾安全首席信息安全官 23pds 发推表示,若如 Mt.Gox 前首席执行官 Mark Karpelès 所说 Ledger 改动发生在 PCB 上,则属高水平手法。其推测流程为:种子在安全元件内生成,助记词显示在屏幕上,恶意模块接入屏幕数据线(如 SPI),录下显示的单词,凑齐后通过 LTE 或 eSIM 发出,攻击者取得助记词后转走资产。 此前,Mt.Gox 前首席执行官 Mark Karpelès 发推表示,其收到的一台 Ledger 硬件钱包疑似被植入间谍模块,设备来自马来西亚,外包装热缩膜完好,拆开后也难以立即发现异常,植入物隐藏在屏幕原本应有的缓冲垫位置。该模块包含 LTE 通信组件、天线、eSIM 及连接 Ledger SPI 总线的微控制器,可分析设备向用户显示的字符,并在助记词设置完成后发送相关数据。攻击者可能监控受害者的钱包地址,并选择时机转移资产。
Ledger 任命前 Fireblocks 高管为 CIO 兼 CISO
Foresight News 消息,据彭博社报道,硬件钱包制造商 Ledger 任命前 Fireblocks 高管 Oded Blatman 为首席信息官兼首席安全官。其将负责网络与基础设施安全、产品安全、实体及办公场所安全、内部 IT 和企业风险。