Zano informó que un atacante explotó una vulnerabilidad en su función Gateway Address para acuñar 36.9 millones de tokens ZANO no autorizados, lo que llevó al proyecto a revertir aproximadamente un mes de historia de la blockchain. El incidente también involucró la creación no autorizada de tokens de Freedom Dollar (fUSD). Las reversiones de historia confirmada de una blockchain son remedios poco comunes, ya que estas redes están diseñadas normalmente para que los bloques consolidados se consideren registros permanentes.

Según la revelación, el atacante creó alrededor de 18.4 millones de ZANO en una sola transacción el 29 de agosto. El atacante repitió el exploit el 25 de septiembre, acuñando otros 18.4 millones de ZANO. Parte de los activos no autorizados ingresó al ecosistema más amplio de Zano.

Las monedas falsas planteaban un problema difícil porque se comportaban como ZANO legítimas, manteniéndose libremente transferibles y gastables. Eso hizo imposible que el equipo identificara y eliminara únicamente la porción no autorizada de la oferta. Sin un marcador en la cadena que separara las monedas falsas de las genuinas, no había remedio dirigido disponible aparte de una reversión a nivel de la cadena.

Cómo se desarrolló el exploit de Gateway Address

El atacante registró una Gateway Address el 28 de agosto, pagando una tarifa de registro de 100 ZANO, y probó un activo falsificado antes de ejecutar la primera acuñación no autorizada. La creación inicial de 18.4 millones de ZANO pasó inadvertida durante casi un mes. Solo después de la segunda acuñación los equipos internos identificaron la actividad y comenzaron a investigar la vulnerabilidad. La brecha de detección significó que la falla quedó expuesta el tiempo suficiente para que el mismo método se utilizara una segunda vez.

Zano indicó que la falla no había sido detectada por pruebas previas asistidas por IA, auditorías internas ni esfuerzos de bug bounty. El equipo finalmente concluyó que eliminar la oferta no autorizada requería una reversión de la blockchain.

La reversión borró transacciones legítimas

Zano reinició la blockchain desde el bloque 3,833,000, inmediatamente antes de que Hard Fork 6 introdujera las Gateway Addresses. La reversión eliminó tanto los activos no autorizados como las transacciones legítimas registradas durante el período afectado. Elegir el bloque inmediatamente anterior a Hard Fork 6 significa que la cadena reiniciada comienza sin las Gateway Addresses, la función en el centro del exploit.

El equipo reconoció que revertir la historia legítima de la blockchain afectaría a usuarios y servicios, pero dijo que las monedas no autorizadas no podían distinguirse de otra manera del ZANO genuino.

Zano está trabajando ahora para restaurar los saldos afectados. El esfuerzo de recuperación contará con el fondo de desarrolladores, contribuciones de los miembros del equipo y apoyo externo comprometido. Los exchanges y los servicios de pago desempeñarán un papel central en la restauración de los depósitos y retiros legítimos alterados por la reversión. La rapidez con la que esos servicios restauren depósitos y retiros, y qué tan completamente se reconstruyan los saldos afectados, son los puntos inmediatos a observar mientras Zano trabaja para volver a la operación normal de la red.

El incidente destaca las consecuencias de vulnerabilidad de oferta cuando los tokens no autorizados conservan las mismas propiedades de gasto que los activos genuinos. Zano ha deshabilitado la funcionalidad afectada mientras trabaja para restaurar la operación normal de la red.

Fuente principal: Cointelegraph