編集注(10月2日 午前6時53分UTC):本記事は、Zanoのマーケティング・成長責任者Quinten van Welzen氏のコメントを追記する形で更新されました。

Zanoは、過去1ヶ月にわたりGateway Addressの脆弱性を悪用した攻撃者が、この欠陥を利用して3,690万Zano(ZANO)と1.8京のFreedom Dollar(fUSD)トークンを作成していたことを明らかにした。これを受けてプロジェクトは、ブロックチェーンを1ヶ月巻き戻す決定を下した。

木曜日に公開された事後検証(post-mortem)によると、攻撃者は8月29日に初めてこの脆弱性を悪用し、単一のトランザクションで約1,840万ZANOを作成した。攻撃は9月25日に繰り返され、さらに1,840万ZANOがmintされ、その後同じ手法で約1.8京のfUSDが作成された。

「これらのコインは本物のZANOとして機能し、通常どおり支出できた」とチームは事後検証で述べた。van Welzen氏はCointelegraphに対し、取引所で利用可能な流動性によって支出が制限されていたため、トークンのごく一部のみが市場に到達したと語った。

これらの数字は、正当なトランザクションを含む約1ヶ月分のブロックチェーン履歴のロールバックをチームが呼びかけた理由を明らかにしている。ロールバックとは、チェーンを選択したブロック高まで巻き戻し、その時点以降にマイニングされたすべてのトランザクションを、正当なものであっても破棄するものであり、そのため影響を受けた月の通常の入金・出金も取り消して復旧する必要がある。Zanoはロールバックが信頼を損なうことを認めつつ、不正なコインを正当なコインと区別できなかったため、不正な供給を除去するために必要だったと主張した。この区別の不可能性こそが、チームの選択肢を少なくしていた。偽造コインが本物と同一であれば、それが作成された履歴を無効化することでしか流通から除去できないからだ。

攻撃者は100 ZANOのエクスプロイ費用を支っていた

事後検証によると、攻撃者はエクスプロイを仕組むために100 ZANOを支払っており、公開時点で約553ドル相当だった。攻撃者は8月28日にGateway Addressを登録して登録料を支払い、翌日の最初の不正mint前に偽造アセットをテストしていた。

最初の1,840万ZANOのmintは約1ヶ月間気づかれなかった。チームによると、不正なコインは通常の出力と同様に見え、内部チームがこの活動にフラグを立てたのは2回目のmint後だったという。Zanoはさらに、AI支援によるテスト、内部監査、バグバウンティのいずれもこのバグを検出できなかったと述べた。

関連:Gateway Addressエクスプロイ後、Zanoがブロックチェーンを1ヶ月ロールバック

水曜日、Zanoは開発基金、チームメンバーの個人資金、約束された拠出金を活用し、影響を受けた残高の復旧に取り組んでいると発表した。復旧は主に取引所と決済サービスを通じて実施され、取引所はロールバックで取り消された出金を再実行し、チームは影響を受けた入金をクレジットする。復旧は各プラットフォームとの連携に依存するため、影響を受けた月に入出金を行ったユーザーは、資金を保有していた取引所や決済サービスの発表に注意する必要があるかもしれない。チームはXでも最新情報を共有している。

本レポートはもともとCointelegraphが公開したものです。