Эксплуататор выпустил 36,9 млн ZANO до отката сети

Злоумышленник использовал уязвимость Gateway Address для выпуска около 36,9 млн ZANO и создания токенов Freedom Dollar (fUSD). После этого команда Zano откатила историю блокчейна примерно на месяц, чтобы удалить несанкционированную эмиссию.

Первая атака произошла 29 августа. В рамках одной транзакции было создано около 18,4 млн ZANO. 25 сентября злоумышленник выпустил еще 18,4 млн ZANO, а затем применил тот же метод для создания fUSD. Часть активов попала в экосистему Zano и использовалась в обычных операциях.

«Эти монеты функционировали как настоящие ZANO, и их можно было тратить обычным образом», — говорится в посмертном отчете команды. Несанкционированные активы выглядели как стандартные выходы транзакций, поэтому первый выпуск оставался незамеченным почти месяц. Подозрительную активность обнаружили после второй атаки.

Для настройки эксплойта злоумышленник заплатил 100 ZANO. На момент публикации отчета эта сумма составляла около $553. 28 августа он зарегистрировал Gateway Address, внес регистрационную комиссию и протестировал сфабрикованный актив. На следующий день состоялся первый выпуск ZANO.

Команда Zano объяснила откат тем, что незаконные монеты невозможно отличить от легитимных. В результате была отменена история блокчейна примерно за месяц, включая операции пользователей, не связанные с атакой.

В отчете указано, что уязвимость не обнаружили внутренние аудиты, тестирование с использованием искусственного интеллекта и программы поиска ошибок. После отката команда начала восстанавливать затронутые балансы за счет фонда разработчиков, личных средств участников команды и обещанных взносов.

Основное восстановление пройдет через биржи и платежные сервисы. Биржи должны повторно обработать выводы средств, отмененные из-за отката, а команда Zano намерена зачислить средства на счета пользователей, чьи депозиты были затронуты.