Zano 表示，一名攻击者利用其 Gateway Address 功能中的漏洞增发了 3,690 万枚未授权 ZANO 代币，迫使项目方回滚约一个月的区块链历史。该事件还涉及未授权创建 Freedom Dollar（fUSD）代币。回滚已确认的区块链历史并不常见，因为此类网络通常被设计为将已确认区块视为永久记录。

据披露，攻击者在 8 月 29 日通过单笔交易增发了约 1,840 万枚 ZANO。攻击者于 9 月 25 日再次实施攻击，又增发了 1,840 万枚 ZANO。部分未授权资产已流入更广泛的 Zano 生态。

这些伪造代币带来了一个棘手的问题：它们的表现与真实 ZANO 完全相同，可自由转账和使用。这使团队无法识别并仅移除供应中的未授权部分。由于链上没有任何标记区分伪造币与真实币，除链级回滚外没有其他针对性补救手段。

Gateway Address 漏洞攻击是如何展开的

攻击者于 8 月 28 日注册了一个 Gateway Address 并支付了 100 ZANO 的注册费，随后在执行第一次未授权增发前测试了一个伪造资产。最初增发的 1,840 万枚 ZANO 在近一个月内未被察觉。直到第二次增发后，内部团队才发现该活动并开始调查这一漏洞。检测上的滞后意味着该缺陷暴露时间足够长，同一手法得以被第二次使用。

Zano 表示，此前的 AI 辅助测试、内部审计以及漏洞赏金计划均未发现该缺陷。团队最终得出结论：移除未授权供应需要进行区块链回滚。

回滚抹除了合法交易

Zano 将区块链从第 3,833,000 个区块重启，即 Hard Fork 6 引入 Gateway Address 之前的一个区块。此次回滚既移除了未授权资产，也移除了受影响期间记录的合法交易。选择 Hard Fork 6 之前紧邻的区块，意味着重启后的链在起点不包含 Gateway Address——这一处于攻击核心的功能。

团队承认，回退合法的区块链历史将影响用户和服务，但同时表示，除此之外无法将未授权代币与真实 ZANO 区分开。

Zano 目前正在努力恢复受影响的余额。恢复工作将动用开发者基金、团队成员出资以及已承诺的外部支持。交易所和支付服务将在恢复因回滚而中断的合法存取款方面发挥核心作用。这些服务恢复存取款的速度，以及受影响余额重建的完整程度，是 Zano 逐步恢复网络正常运转过程中最值得关注的即时事项。

该事件凸显了当未授权代币与资产具有相同使用属性时，供应量漏洞所带来的后果。Zano 已禁用受影响的功能，并正努力恢复网络的正常运转。

主要来源：Cointelegraph