Zano meldde dat een aanvaller een kwetsbaarheid in de Gateway Address-functie misbruikte om 36,9 miljoen ongeautoriseerde ZANO-tokens aan te maken, wat het project ertoe dwong ongeveer een maand aan blockchain-geschiedenis terug te draaien. Bij het incident was ook sprake van de ongeautoriseerde aanmaak van Freedom Dollar (fUSD)-tokens. Rollbacks van bevestigde blockchain-geschiedenis zijn zeldzame maatregelen, aangezien deze netwerken doorgaans zijn ontworpen zodat afgesloten blokken als permanente registraties worden beschouwd.

Volgens de openbaarmaking maakte de aanvaller ongeveer 18,4 miljoen ZANO aan in één transactie op 29 augustus. De aanvaller herhaalde de exploit op 25 september en sloeg nog eens 18,4 miljoen ZANO aan. Een deel van de ongeautoriseerde activa kwam terecht in het bredere Zano-ecosysteem.

De vervalste munten vormden een moeilijk probleem omdat ze zich gedroegen als legitieme ZANO, vrij overdraagbaar en uitgeefbaar bleven. Dat maakte het voor het team onmogelijk om uitsluitend het ongeautoriseerde deel van de voorraad te identificeren en verwijderen. Zonder on-chain marker die valse munten van echte onderscheidde, was geen gerichte oplossing mogelijk die geen ingreep op chain-niveau vereiste.

Hoe de Gateway Address-exploit verliep

De aanvaller registreerde op 28 augustus een Gateway Address en betaalde een registratievergoeding van 100 ZANO, en testte een gefabriceerd activum voordat de eerste ongeautoriseerde aanmunting werd uitgevoerd. De initiële aanmaak van 18,4 miljoen ZANO bleef bijna een maand onopgemerkt. na de tweede aanmunting identificeerden interne teams de activiteit en begonnen met het onderzoeken van de kwetsbaarheid. Het detectietekort betekende dat de fout lang genoeg onopgemerkt bleef om dezelfde methode een tweede keer te kunnen gebruiken.

Zano meldde dat de fout niet was opgespoord door eerdere AI-ondersteunde tests, interne audits of bug bounty-inspanningen. Het team concludeerde uiteindelijk dat het verwijderen van de ongeautoriseerde voorraad een blockchain-rollback vereiste.

Rollback verwijderde legitieme transacties

Zano herstartte de blockchain vanaf blok 3.833.000, onmiddellijk vóórdat Hard Fork 6 Gateway Addresses introduceerde. De rollback verwijderde zowel de ongeautoriseerde activa als de legitieme transacties die in de getroffen periode waren geregistreerd. Door te kiezen voor het blok direct vóór Hard Fork 6 begint de herstartte chain zonder Gateway Addresses, de functie die centraal stond in de exploit.

Het team gaf toe dat het terugdraaien van legitieme blockchain-geschiedenis gevolgen zou hebben voor gebruikers en diensten, maar meldde dat de ongeautoriseerde munten zich anders niet konden onderscheiden van echte ZANO.

Zano werkt momenteel aan het herstellen van getroffen saldi. Het herstel maakt gebruik van het developer fund, bijdragen van teamleden en toegezegde externe steun. Beurzen en betaaldiensten spelen een centrale rol bij het herstellen van legitieme stortingen en opnames die door de rollback zijn verstoord. Hoe snel deze diensten stortingen en opnames hervatten, en hoe volledig getroffen saldi worden herbouwd, zijn de directe aandachtspunten nu Zano terugwerkt richting normale netwerkoperaties.

Het incident onderstreept de gevolgen van een kwetsbaarheid in de tokenvoorraad wanneer ongeautoriseerde tokens dezelfde uitgeefeigenschappen behouden als echte activa. Zano heeft de getroffen functionaliteit uitgeschakeld terwijl het werkt aan het herstel van normale netwerkoperaties.

Primaire bron: Cointelegraph