Примечание редакции (2 октября, 6:53 UTC): статья обновлена с учетом комментария главы отдела маркетинга и развития Zano Квинтена ван Велзена.

Zano раскрыла, что атакующий, в течение прошлого месяца эксплуатировавший уязвимость Gateway Address, использовал ее для создания 36,9 млн Zano (ZANO), а также 1,8 квадриллиона токенов Freedom Dollar (fUSD), прежде чем проект принял решение откатить блокчейн на один месяц назад.

В посмертном разборе, опубликованном в четверг, команда сообщила, что атакующий впервые воспользовался уязвимостью 29 августа, создав примерно 18,4 млн ZANO в одной транзакции. Эксплойт был повторен 25 сентября с выпуском еще 18,4 млн ZANO, после чего тем же способом было создано около 1,8 квадриллиона fUSD.

"Эти монеты функционировали как подлинные ZANO и могли тратиться обычным образом", — написала команда в послеромном разборе. Ван Велзен сообщил Cointelegraph, что лишь небольшая часть токенов достигла рынка, поскольку траты ограничивались ликвидностью, доступной на биржах.

Эти цифры объясняют, почему команда потребовала отката примерно месячной истории блокчейна, включая легитимные транзакции. Откат возвращает цепочку к выбранной высоте блока и отбрасывает все транзакции, добытые после этой точки, независимо от того, были ли они добросовестными, — именно поэтому обычные депозиты и выводы за затронутый месяц также приходится отменять и восстанавливать. Zano признала, что откат подорвет доверие, но заявила, что это необходимо для устранения несанкционированной эмиссии, поскольку ее невозможно было отличить от легитимных монет. Именно эта неразличимость оставила команде мало вариантов: если поддельные монеты идентичны подлинным, убрать их из обращения можно только аннулировав историю, в которой они были созданы.

Атакующий заплатил входную комиссию в 100 ZANO за эксплойт

Согласно послеромному разбору, атакующий заплатил 100 ZANO за организацию эксплойта — около $553 на момент публикации. Атакующий зарегистрировал Gateway Address 28 августа, оплатил регистрационный сбор и протестировал поддельный актив за день до первого несанкционированного выпуска.

Первоначальный выпуск 18,4 млн ZANO оставался незамеченным почти месяц Команда сообщила, что несанкционированные монеты выглядели как обычные выходы, а внутренние команды обнаружили активность только после второго выпуска. Zano добавила, что тестирование с помощью ИИ, внутренние аудиты и багаунти не смогли выявить уязвимость.

См. также: Zano откатывает блокчейн на месяц назад после эксплойта Gateway Address

В среду Zano сообщила, что работает над восстановлением затронутых балансов с использованием фонда разработчиков, личных средств участников команды и подтвержденных взносов. Восстановление будет проходить преимущественно через биржи и платежные сервисы: биржи повторно проведут отмененные откатом выводы, а команда зачислит затронутые депозиты. Поскольку восстановление зависит от координации с отдельными платформами, пользователям, вносившим или выводившим средства в затронутый месяц, возможно, придется следить за объявлениями бирж и платежных сервисов, где они держали средства. Команда также публикует обновления в X.

Оригинальный репортаж опубликован Cointelegraph.