Zano сообщил, что злоумышленник эксплуатировал уязвимость в функции Gateway Address, выпустив 36,9 млн несанкционированных токенов ZANO, что вынудило проект откатить примерно месяц истории блокчейна. Инцидент также включал несанкционированный выпуск токенов Freedom Dollar (fUSD). Откаты подтвержденной истории блокчейна — редкая мера, поскольку такие сети обычно устроены так, что зафиксированные блоки считаются неизменными записями.

Согласно раскрытой информации, злоумышленник создал около 18,4 млн ZANO в одной транзакции 29 августа. 25 сентября он повторил эксплойт, выпустив еще 18,4 млн ZANO. Часть несанкционированных активов попала в экосистему Zano.

Поддельные монеты создали серьезную проблему, поскольку вели себя как легитимные ZANO, свободно передаваясь и расходуясь. Это сделало невозможным для команды выявить и удалить только несанкционированную часть эмиссии. Поскольку на блокчейне не было маркера, отличающего подделку от подлинных монет, альтернативы откату цепочки не существовало.

Как развивался эксплойт Gateway Address

Злоумышленник зарегистрировал Gateway Address 28 августа, заплатив регистрационный сбор в 100 ZANO, и протестировал поддельный актив перед первым несанкционированным выпуском. Первоначальная эмиссия 18,4 млн ZANO оставалась незамеченной почти месяц. Лишь после второго выпуска внутренние команды выявили активность и начали расследование уязвимости. Промежуток в обнаружении означал, что уязвимость оставалась открытой достаточно долго, чтобы тот же метод был использован повторно.

Zano заявил, что уязвимость не была выявлена ранее проведенными тестами с использованием ИИ, внутренними аудиторами или программами по поиску ошибок. Команда в итоге пришла к выводу, что для удаления несанкционированной эмиссии необходим откат блокчейна.

Откат уничтожил легитимные транзакции

Zano перезапустил блокчейн с блока 3 833 000 — сразу перед Hard Fork 6, который ввел Gateway Address. Откат удалил как несанкционированные активы, так и легитимные транзакции, зафиксированные за затронутый период. Выбор блока непосредственно перед Hard Fork 6 означает, что перезапущенная цепочка стартует без Gateway Address — функции, оказавшейся в центре эксплойта.

Команда признала, что обращение вспять легитимной истории блокчейна затронет пользователей и сервисы, однако отметила, что иначе несанкционированные монеты невозможно было отличить от подлинных ZANO.

Zano сейчас работает над восстановлением затронутых балансов. Усилия по восстановлению будут опираться на фонд разработчиков, взносы членов команды и обещанную внешнюю поддержку. Ключевую роль влении легитимных депозитов и выводов, нарушенных откатом, сыграют биржи и платежные сервисы. То, насколько быстро эти сервисы возобновят депозиты и выводы и насколько полно будут восстановлены затронутые балансы, — ближайшие моменты, за которыми стоит следить, пока Zano возвращается к нормальной работе сети.

Инцидент подчеркивает последствия уязвимости эмиссии, когда несанкционированные токены сохраняют те же свойства расходования, что и подлинные активы. Zano отключил затронутую функциональность, работая над восстановлением нормальной работы сети.

Первоисточник: Cointelegraph