最安全的虚拟币交易平台推荐：

• OKX（欧易交易所）>>>进入官网<<< >>>官方下载<<<
• Binance（币安交易所）>>>进入官网<<< >>>官方下载<<<

很多新手觉得硬件资产工具就像把私钥锁进了保险柜，但这次Zilliqa的事件提醒我们，保险柜的锁芯本身也可能有问题。只要底层签名程序的实现存在缺陷，公开的链上数据就可能成为攻击者的突破口。

据Zilliqa官方账号（@zilliqa）发布的紧急安全公告，其Ledger应用程序被发现存在一个高危漏洞。该漏洞影响原生（非EVM）Zilliqa交易的Schnorr签名生成流程，攻击者可能利用公开的链上数据反推出用户私钥。

Zilliqa Ledger漏洞解析：原生交易Schnorr签名流程的缺陷

简单来说，这次Zilliqa安全事件的核心不是区块链网络本身出问题，而是原生交易签名时的底层程序实现有瑕疵。

Zilliqa原生交易采用secp256k1曲线上的EC-Schnorr签名机制。签名过程中，系统需要生成一个256位、高度随机的随机数（Nonce，记为k）。这个随机数的随机性是保障签名安全的关键。

Zilliqa团队调查指出，程序虽然生成了40字节随机数并进行取模处理，但在复制到nonce缓冲区时，只复制了32字节。

这个底层实现细节导致随机数的前64位恒为零，即k<2^{192}。原本应该高度随机的签名参数因此出现了可被分析的偏差。

官方警告称，攻击者可利用此偏差，结合格基还原法（lattice reduction）求解隐藏数字问题（Hidden Number Problem），进而恢复用户的完整私钥。

Zilliqa安全公告时间线：漏洞潜伏多年，高频用户风险更高

根据官方披露的时间线，该漏洞并非新近出现，而是自2019年起便存在于所有版本的Zilliqa Ledger应用程序中。

直到2026年7月19日，团队才观察到符合主动攻击特征的链上活动；7月21日，官方正式确认问题根因并成功复现漏洞。

这意味着，过去曾使用Ledger硬件资产工具签署原生Zilliqa交易的用户，尤其是使用ZIL1地址的账户，风险最高。

官方进一步指出，若相关账户通过Ledger广播过约5笔或以上原生交易，由于链上已累积足够的签名特征，其私钥应被视为“已遭破解”。

不过，官方明确说明，使用EVM工具生成的0x地址交易，以及通过Zilliqa官方SDK（如zilliqa-js）生成的交易，不受本次漏洞影响。

Zilliqa Ledger漏洞影响范围：哪些用户需重点留意

• 受影响用户：使用Ledger硬件资产工具签署原生Zilliqa交易的ZIL1地址用户。
• 高风险情形：过去已通过Ledger广播约5笔或以上原生交易的账户。
• 不受影响交易：通过EVM工具生成的0x地址交易。
• 不受影响方式：通过Zilliqa官方SDK（如zilliqa-js）生成的交易。

简而言之，若使用Zilliqa原生地址并通过Ledger完成过原生交易签名，需密切关注官方后续通知；若使用EVM体系下的0x地址交易，则不在本次漏洞影响范围内。

官方应对措施：暂停原生交易，受影响用户切勿自行转账

为防止风险扩大，Zilliqa团队已紧急暂停所有原生（非EVM）交易，并与Ledger官方合作推进修复版本发布。

对于可能受影响的Ledger用户，官方态度明确：现阶段不要自行进行任何转账操作。

原因在于，若私钥已暴露，用户主动发起转账后，攻击者可能监控链上动态，并通过机器人抢先交易（Front-running）进行拦截。自行转账未必能降低风险，反而可能让资产更快暴露在攻击之下。

基于此，官方建议相关用户等待Zilliqa后续公布统一协调的补救方案，而非自行尝试处理。

KuCoin协助排查，但问题本质仍是Ledger应用程序漏洞

Zilliqa在公告中提到，KuCoin在此次事件中提供了协助，包括帮助定位Ledger应用中的Nonce问题，并从链上签名中协助恢复受影响私钥，以确认攻击路径和手法。

Zilliqa特别澄清，本次事件的本质是Ledger应用程序层面的技术漏洞，与交易所资产工具管理机制无关。

此次Zilliqa安全事件对用户的启示

这一事件再次表明，即使在硬件资产工具场景下，安全风险也不仅是“设备是否被盗”的问题。只要签名实现本身存在底层缺陷，公开的链上数据也可能被用于攻击分析。

对于已处于风险范围内的用户，当前更重要的不是自行转移资产，而是持续关注项目方与相关服务方后续发布的补救公告和处理安排。

风险提示：本文仅供学习参考，不构成投资建议、交易建议或收益承诺。加密货币和迷因币波动较大，价格预测和市场数据应以官方公告、交易所页面及实时行情平台为准。涉及链上签名、私钥与硬件资产工具的安全事件专业性较强，处理不当可能进一步放大风险。用户应以项目方和相关服务方后续公告为准，谨慎进行资产操作，避免因自行转账或重复签名造成更多损失。投资者需独立判断、谨慎决策。