Zano ha dichiarato che un attacker ha sfruttato una vulnerabilità della sua funzionalità Gateway Address per coniare 36,9 milioni di token ZANO non autorizzati, spingendo il progetto a eseguire il rollback di circa un mese di storia della blockchain. L'incidente ha coinvolto anche la creazione non autorizzata di token Freedom Dollar (fUSD). I rollback di storia blockchain confermata sono rimedi poco comuni, poiché queste reti sono normalmente progettate in modo che i blocchi definitivi siano trattati come registrazioni permanenti.

Secondo la divulgazione, l'attacker ha creato circa 18,4 milioni di ZANO in una singola transazione il 29 agosto. L'attacker ha ripetuto l'exploit il 25 settembre, coniando altri 18,4 milioni di ZANO. Una parte degli asset non autorizzati è entrata nel più ampio ecosistema Zano.

Le monete contraffatte hanno posto un problema difficile perché si comportavano come ZANO legittimi, rimanendo liberamente trasferibili e spendibili. Ciò ha reso impossibile per il team identificare e rimuovere solo la porzione non autorizzata dell'offerta. Senza alcun marcatore on-chain che separasse le monete contraffatte da quelle autentiche, non era disponibile alcun rimedio mirato se non un ripristino a livello di catena.

Come si è svolto l'exploit del Gateway Address

L'attacker ha registrato un Gateway Address il 28 agosto, pagando una tassa di registrazione di 100 ZANO, e ha testato un asset fabbricato prima di eseguire il primo conio non autorizzato. La creazione iniziale di 18,4 milioni di ZANO è rimasta inosservata per quasi un mese. Solo dopo il secondo conio i team interni hanno identificato l'attività e hanno iniziato a indagare sulla vulnerabilità. Il divario nellavazione ha significato che la vulnerabilità è rimasta esposta abbastanza a lungo perché lo stesso metodo venisse utilizzato una seconda volta.

Zano ha dichiarato che la vulnerabilità non era stata rilevata dai precedenti test assistiti da AI, audit interni o programmi di bug bounty. Il team ha infine concluso che la rimozione dell'offerta non autorizzata richiedeva un rollback della blockchain.

Il rollback ha cancellato transazioni legittime

Zano ha riavviato la blockchain dal blocco 3.833.000, immediatamente prima che l'Hard Fork 6 introducesse i Gateway Address. Il rollback ha rimosso sia gli asset non autorizzati sia le transazioni legittime registrate durante il periodo interessato. La scelta del blocco immediatamente precedente all'Hard Fork 6 significa che la catena riavviata inizia senza Gateway Address, la funzionalità al centro dell'exploit.

Il team ha riconosciuto che l'annullamento della storia legittima della blockchain avrebbe coinvolto utenti e servizi, ma ha dichiarato che le monete non autorizzate non potevano altrimenti essere distinte dagli ZANO autentici.

Zano sta ora lavorando per ripristinare i saldi interessati. Lo sforzo di recupero si baserà sul fondo per sviluppatori, sui contributi dei membri del team e sul supporto esterno impegnato. Gli exchange e i servizi di pagamento svolgeranno un ruolo centrale nel ripristino di depositi e prelievi legittimi interrotti dal rollback. La rapidità con cui questi servizi ripristineranno depositi e prelievi, e la completezza con cui i saldi interessati saranno ricostruiti, sono gli elementi immediati da monitorare mentre Zano torna verso normali operazioni di rete.

L'incidente evidenzia le conseguenze di una vulnerabilità dell'offerta quando token non autorizzati mantengono le stesse proprietà di spesa degli asset autentici. Zano ha disattivato la funzionalità interessata mentre lavora per ripristinare le normali operazioni di rete.

Fonte primaria: Cointelegraph