Uma vulnerabilidade de sete anos no aplicativo Ledger da Zilliqa permite que atacantes reconstruam chaves privadas a partir de apenas cinco assinaturas — a rede suspendeu transações nativas enquanto investiga a extensão do problema.
A equipe da Zilliqa confirmou a descoberta de uma falha crítica de segurança presente há pelo menos sete anos no aplicativo oficial da rede para dispositivos Ledger. O problema afeta especificamente as assinaturas Schnorr geradas em transações nativas — aquelas fora do ambiente EVM — e pode permitir que um atacante reconstrua a chave privada de uma carteira com um número surpreendentemente pequeno de amostras.
Segundo a CryptoSlate, a própria Zilliqa estima que aproximadamente cinco assinaturas oriundas de uma mesma chave privada já seriam suficientes para fornecer informação matemática bastante para recompor esse segredo criptográfico. Em termos práticos, qualquer usuário que tenha realizado cinco ou mais transações nativas pelo app Ledger da Zilliqa pode estar em risco.
A rede decidiu suspender transações nativas como medida de contenção imediata. A suspensão cria, porém, um dilema delicado: mover os fundos para um endereço seguro exigiria justamente o tipo de transação que foi bloqueada, transformando o resgate em uma corrida contra potenciais atacantes que já possam ter coletado assinaturas suficientes para agir.
⚠️ Por que assinaturas Schnorr expõem a chave?
O esquema Schnorr depende de um número aleatório único — chamado de nonce — para cada assinatura. Se a implementação reutilizar ou gerar nonces previsíveis, equações algébricas simples permitem isolar a chave privada combinando poucas amostras. É exatamente esse tipo de falha na geração de entropia que a Zilliqa aponta no app Ledger.
O que está em risco e quem é afetado
A vulnerabilidade é restrita ao app Zilliqa no Ledger para transações nativas (não-EVM). Usuários que operam apenas na camada EVM da Zilliqa — usando, por exemplo, MetaMask conectado ao hardware wallet — não estão expostos pela mesma falha. Ainda assim, a equipe recomenda cautela máxima até que uma correção definitiva seja publicada e auditada.
Usuários com cinco ou mais transações nativas Zilliqa assinadas pelo app Ledger. A chave privada pode ser matematicamente reconstruída a partir dessas assinaturas.
Transações EVM na rede Zilliqa e operações em outros blockchains pelo Ledger seguem sem impacto confirmado. A falha é específica do app nativo ZIL.
A Zilliqa suspendeu transações nativas para conter a exploração, mas isso também dificulta o resgate imediato dos fundos pelos próprios titulares.
A falha estaria presente há pelo menos sete anos no código do aplicativo, o que significa que assinaturas históricas já registradas em blockchain podem ser exploradas retroativamente.
Hardware wallet seguro, app vulnerável: a distinção importa
É fundamental separar o dispositivo físico Ledger — cujo chip seguro (Secure Element) permanece íntegro — do aplicativo de terceiros que implementa a lógica de assinatura de cada blockchain. A falha identificada está na implementação do esquema Schnorr dentro do app Zilliqa, não no hardware em si.
Isso reforça a importância de manter aplicativos de blockchain sempre atualizados e de acompanhar comunicados oficiais das equipes de desenvolvimento. Um hardware wallet protege contra ameaças externas, mas depende de implementações criptográficas corretas para garantir segurança ponta a ponta.
Leia tambem: backup offline com a Ledger Recovery Key.
📌 Nota editorial
Até o fechamento desta reportagem, a Ledger não havia publicado comunicado oficial detalhando sua posição sobre a vulnerabilidade. O KriptoHoje acompanha o caso e atualizará este conteúdo conforme novas informações forem divulgadas pelas partes envolvidas.
Importante: não damos recomendação de investimento
Este conteúdo tem caráter exclusivamente informativo e educacional. O KriptoHoje não é consultor de investimentos e não recomenda a compra, venda ou manutenção de qualquer ativo. Investimento em criptoativos envolve risco elevado de perda total.
Seu hardware wallet veio de fonte confiável?
A KriptoBR, integrante do mesmo grupo do KriptoHoje, é a maior e mais antiga revenda oficial de hardware wallets do mundo. Trezor, Ledger, SecuX, Yubico e Key-ID.
Mais de 600 mil clientes atendidos em 32 países. Envio direto do Brasil, garantia do fabricante, suporte técnico em português.
Leituras relacionadas
🧩 Assinaturas digitais em cripto: como funcionamDa criptografia de curva elíptica ao Schnorr: um guia sobre os mecanismos que garantem a autenticidade das transações.
🛡️ Como proteger sua carteira cripto de ataquesBoas práticas de segurança para quem armazena criptoativos, desde a escolha da carteira até a gestão da seed phrase.
Este conteúdo é de caráter informativo e não constitui recomendação de investimento. Criptomoedas são ativos voláteis; consulte um profissional antes de investir.