Команда Zano сообщила, что злоумышленник, эксплуатировавший уязвимость шлюзового адреса в течение последнего месяца, успел сгенерировать 36,9 миллиона монет ZANO, а также токены Freedom Dollar (fUSD). Это произошло до того, как было принято решение откатить блокчейн на один месяц назад.
В опубликованном в четверг отчете по итогам инцидента Zano рассказала, что хакер впервые воспользовался уязвимостью 29 августа, создав примерно 18,4 миллиона ZANO в рамках одной транзакции. 25 сентября атакующий повторил взлом, выпустив еще 18,4 миллиона ZANO, после чего применил ту же методику для создания fUSD. По данным команды, часть этих средств попала в экосистему Zano.
В отчете отмечается, что эти монеты функционировали как подлинные ZANO и могли использоваться для обычных транзакций. Редакция Cointelegraph обратилась к представителям Zano за комментариями.
Опубликованные цифры объясняют, почему разработчики Zano приняли решение откатить историю блокчейн-сети примерно на месяц назад, затронув легитимные транзакции. Команда признала, что такой шаг подорвет доверие пользователей, но назвала его необходимым для удаления несанкционированной эмиссии, которую невозможно было отличить от честно заработанных монет.
Злоумышленник заплатил 100 ZANO за входной билет для проведения атаки
Согласно отчету Zano, хакер заплатил 100 ZANO за настройку эксплойта, что на момент публикации составляло около 553 долларов.
Злоумышленник зарегистрировал адрес шлюза 28 августа, уплатил регистрационный сбор, а на следующий день проверил поддельный актив перед проведением первого несанкционированного выпуска.
Первая эмиссия 18,4 миллиона ZANO оставалась незамеченной почти месяц. Разработчики пояснили, что неавторизованные монеты выглядели как обычные выходы транзакций, а внутренняя команда зафиксировала подозрительную активность только после второй волны выпуска.
В Zano отметили, что тестирование с помощью искусственного интеллекта, внутренние аудиты и программы выплаты вознаграждений за найденные ошибки не смогли выявить эту уязвимость.
Тем временем в среду представители Zano заявили, что занимаются восстановлением пострадавших балансов за счет фонда разработчиков, личных сбережений членов команды и привлеченных взносов. Процесс восстановления в основном будет проходить через биржи и платежные сервисы: торговые площадки повторно обработают выводы средств, отмененные в результате отката, а команда компенсирует пострадавшим их депозиты.
