Zano poinformowało, że atakujący wykorzystał lukę w funkcji Gateway Address do wygenerowania 36,9 mln nieautoryzowanych tokenów ZANO, co skłoniło projekt do wycofania około miesiąca historii blockchaina. W incydencie doszło również do nieautoryzowanego wygenerowania tokenów Freedom Dollar (fUSD). Rollbacki potwierdzonej historii blockchaina są rzadko stosowanym środkiem, ponieważ sieci te są zwykle zaprojektowane tak, by utrwalone bloki traktować jako niezmienne zapisy.

Zgodnie z ujawnieniem atakujący wygenerował około 18,4 mln ZANO w pojedynczej transakcji 29 sierpnia. Atakujący powtórzył exploit 25 września, generując kolejne 18,4 mln ZANO. Część nieautoryzowanych aktywów trafiła do szerszego ekosystemu Zano.

Podrobione monety stanowiły trudny problem, ponieważ zachowywały się jak legalne ZANO — można je było swobodnie przenosić i wydawać. Uniemożliwiło to zespołowi zidentyfikowanie i usunięcie wyłącznie nieautoryzowanej części podaży. Przy braku na łańcuchu znaczników odróżniających podrobione monety od oryginalnych nie było dostępnego ukierunkowanego środka zaradczego poza odwróceniem na poziomie łańcucha.

Jak przebiegał exploit na Gateway Address

Atakujący zarejestrował Gateway Address 28 sierpnia, uiszczając opłatę rejestracyjną w wysokości 100 ZANO, i przetestował sfabrykowany aktywo przed wykonaniem pierwszego nieautoryzowanego generowania monet. Początkowe wygenerowanie 18,4 mln ZANO pozostawało niewykryte przez niemal miesiąc. Dopiero po drugim generowaniu zespoły wewnętrzne zidentyfikowały aktywność i rozpoczęły badanie luki. Ta luka wrywalności oznaczała, że podatność pozostawała dostępna wystarczająco długo, by ta sama metoda została użyta po raz drugi.

Zano podało, że luki nie wykryły wcześniejsze testy wspomagane przez AI, audyty wewnętrzne ani programy bug bounty. Zespół ostatecznie doszedł do wniosku, że usunięcie nieautoryzowanej podaży wymaga rollbacku blockchaina.

Rollback wymazał legalne transakcje

Zano zrestartowało blockchain od bloku 3 833 000, bezpośrednio poprzedzającego Hard Fork 6, który wprowadził Gateway Addresses. Rollback usunął zarówno nieautoryzowane aktywa, jak i legalne transakcje zapisane w dotkniętym okresie. Wybór bloku bezpośrednio poprzedzającego Hard Fork 6 oznacza, że zrestartowany łańcuch rozpoczyna działanie bez Gateway Addresses — funkcji będącej centrum exploitu.

Zespół przyznał, że odwrócenie legalnej historii blockchaina wpłynie na użytkowników i usługi, ale stwierdził, że nieautoryzowanych monet nie dało się w inny sposób odróżnić od oryginalnych ZANO.

Zano pracuje obecnie nad przywróceniem naruszonych sald. Działania odbudowawcze będą opierać się na funduszu deweloperskim, wkładach członków zespołu oraz zadeklarowanym wsparciu zewnętrznym. Kluczową rolę w przywracaniu legalnych depozytów i wypłat zakłóconych przez rollback odegrają giełdy i usługi płatnicze. Szybkość, z jaką te usługi przywrócą depozyty i wypłaty, oraz stopień, w jakim odbudowane zostaną naruszone salda, to najbliższe kwestie do obserwowania, podczas gdy Zano wraca do normalnej pracy sieci.

Incydent uwypukla konsekwencje luki w podaży w sytuacji, gdy nieautoryzowane tokeny zachowują takie same właściwości wydawania jak oryginalne aktywa. Zano wyłączyło dotkniętą funkcjonalność w trakcie przywracania normalnej pracy sieci.

Źródło główne: Cointelegraph