Zano a indiqué qu'un attaquant avait exploité une vulnérabilité de sa fonctionnalité Gateway Address pour frapper 36,9 millions de tokens ZANO non autorisés, poussant le projet à annuler environ un mois d'historique de sa blockchain. L'incident a également impliqué la création non autorisée de tokens Freedom Dollar (fUSD). Les retours en arrière d'un historique blockchain confirmé sont des remèdes rares, car ces réseaux sont normalement conçus pour que les blocs finalisés soient considérés comme des enregistrements permanents.

Selon la divulgation, l'attaquant a créé environ 18,4 millions de ZANO en une seule transaction le 29 août. Il a répété l'exploit le 25 septembre, frappant 18,4 millions de ZANO supplémentaires. Une partie de ces actifs non autorisés a circulé dans l'écosystème Zano au sens large.

Les pièces contrefaites ont posé un problème difficile car elles se comportaient comme des ZANO légitimes, restant librement transférables et dépensables. Il était donc impossible pour l'équipe d'identifier et de retirer uniquement la partie non autorisée de l'offre. Sans marqueur on-chain permettant de distinguer les pièces contrefaites des véritables, aucun remède ciblé en deçà d'une inversion au niveau de la chaîne n'était possible.

Comment l'exploit de la Gateway Address s'est déroulé

L'attaquant a enregistré une Gateway Address le 28 août, en payant des frais d'enregistrement de 100 ZANO, et a testé un actif fabriqué avant d'exécuter la première frappe non autorisée. La création initiale de 18,4 millions de ZANO est passée inaperçue pendant près d'un mois. Ce n'est qu'après la seconde frappe que les équipes internes ont identifié l'activité et commencé à enquêter sur la vulnérabilité. Ce décalage de détection a laissé la faille exposée suffisamment longtemps pour que la même méthode soit utilisée une seconde fois.

Zano a précisé que la faille n'avait pas été détectée par les tests assistés par IA, les audits internes ni les programmes de bug bounty antérieurs. L'équipe a finalement conclu que la suppression de l'offre non autorisée nécessitait un retour en arrière de la blockchain.

Le rollback a effacé des transactions légitimes

Zano a redémarré la blockchain à partir du bloc 3 833 000, immédiatement avant que le Hard Fork 6 n'introduise les Gateway Addresses. Le rollback a supprimé à la fois les actifs non autorisés et les transactions légitimes enregistrées pendant la période concernée. Le choix du bloc immédiatement antérieur au Hard Fork 6 signifie que la chaîne redémarrée débute sans Gateway Addresses, la fonctionnalité au centre de l'exploit.

L'é a reconnu que l'annulation d'un historique blockchain légitime affecterait les utilisateurs et les services, mais a indiqué que les pièces non autorisées ne pouvaient pas être distinguées autrement des ZANO authentiques.

Zano s'efforce actuellement de restaurer les soldes affectés. L'effort de récupération s'appuiera sur le fonds de développement, les contributions des membres de l'équipe et un soutien externe engagé. Les plateformes d'échange et les services de paiement joueront un rôle central dans la restauration des dépôts et des retraits légitimes perturbés par le rollback. La rapidité avec laquelle ces services rétabliront les dépôts et les retraits, et le degré de reconstitution des soldes affectés, constituent les points à surveiller dans l'immédiat tandis que Zano s'efforce de revenir à un fonctionnement normal du réseau.

L'incident illustre les conséquences d'une vulnérabilité d'offre lorsque des tokens non autorisés conservent les mêmes propriétés de dépense que les actifs authentiques. Zano a désactivé la fonctionnalité concernée tout en travaillant au rétablissement des opérations normales du réseau.

Source principale : Cointelegraph