Puntos clave de la noticia:
- Zilliqa suspendió las transacciones nativas de ZIL tras descubrir una vulnerabilidad crítica en su app de Ledger que existe desde 2019.
- El bug afecta la generación de firmas Schnorr y permite recuperar claves privadas a partir de datos públicos en la cadena con cinco o más firmas comprometidas.
- Las transacciones EVM y los SDK propios de la red no están afectados; KuCoin colaboró en identificar la causa raíz y confirmar el exploit.
Zilliqa suspendió sus transacciones nativas en ZIL luego de detectar una vulnerabilidad crítica en su aplicación para dispositivos Ledger que permanecía oculta desde 2019. El fallo permite recuperar las claves privadas de los usuarios afectados a partir de firmas disponibles públicamente en la cadena, lo que representa un riesgo directo sobre los fondos de quienes hayan firmado transacciones nativas con el hardware Ledger.
Según un comunicado publicado por el equipo, el problema reside en la generación de firmas Schnorr para transacciones nativas de Zilliqa. La rutina de firma copiaba 32 bytes incorrectos de un valor de 40 bytes, lo que dejaba los 64 bits más significativos de cada nonce efímero fijos en cero. Esa reducción en la aleatoriedad criptográfica hace posible reconstruir una clave privada a partir de aproximadamente cinco o más firmas afectadas utilizando datos disponibles públicamente en la blockchain.
Nonce-Generation Vulnerability in the Zilliqa Ledger App: A critical vulnerability has been identified in the Zilliqa Ledger application affecting the generation of Schnorr signatures for native (non-EVM) Zilliqa transactions. The vulnerability causes signatures to be generated… https://t.co/sudV7WA3TV
— Zilliqa (@zilliqa) July 22, 2026
Zilliqa Trabaja Activamente en las Soluciones
El equipo detectó actividad en la cadena consistente con un exploit activo el 19 de julio e identificó la causa raíz dos días después. Para ese momento, ya se habían implementado medidas de protección destinadas a prevenir pérdidas adicionales. Al mismo tiempo, se está finalizando un plan coordinado de remediación y una versión corregida de la app de Zilliqa para Ledger está siendo preparada en conjunto con la compañía fabricante del dispositivo, aunque la fecha de lanzamiento aún no fue anunciada.
El equipo indicó que los usuarios que hayan firmado transacciones nativas con un dispositivo Ledger deben aguardar las instrucciones oficiales antes de realizar cualquier acción. Quienes operen con ZIL exclusivamente a través de herramientas compatibles con EVM no están expuestos a la vulnerabilidad.
La Colaboración de KuCoin Fue Clave
En el comunicado, el equipo de Zilliqa destacó la colaboración del exchange KuCoin, al que atribuyó haber ayudado a identificar la causa raíz del fallo en la generación de nonces, recuperar claves privadas afectadas desde datos públicos de la cadena y confirmar que la vulnerabilidad estaba siendo explotada activamente.
La coordinación con la plataforma, según el equipo, fue clave para implementar las medidas de protección mientras se desarrollaba el plan de remediación.
