Команда Zano повідомила, що хакер, який минулого місяця скористався вразливістю шлюзової адреси, встиг згенерувати 36,9 мільйона монет ZANO та токенів Freedom Dollar (fUSD). Це сталося до того, як блокчейн вирішили відкотити на місяць назад.
У звіті за результатами розслідування, опублікованому в четвер, зазначається, що зловмисник уперше використав вразливість 29 серпня, створивши близько 18,4 мільйона ZANO в одній транзакції. 25 вересня хакер повторив атаку й випустив ще 18,4 мільйона ZANO, після чого аналогічним методом створив fUSD. Частина цих активів потрапила в екосистему Zano.
Ці монети поводилися як справжні ZANO та могли вільно використовуватися, зазначили розробники у своєму звіті. Видання Cointelegraph звернулося до Zano по коментар.
Ці цифри пояснюють, чому команда наважилася на відкат блокчейна приблизно за місяць, який зачепив і легітимні транзакції. Розробники визнали, що такий крок підриває довіру, проте наголосили на його необхідності для видалення незаконно створеної емісії, яку неможливо було відрізнити від справжніх монет.
Хакер заплатив 100 ZANO комісії за запуск атаки
Згідно зі звітом Zano, зловмисник сплатив 100 ZANO за налаштування експлойту, що на момент публікації становило близько 553 доларів.
Хакер зареєстрував шлюзову адресу 28 серпня, сплатив реєстраційний внесок, а наступного дня випробував створений підроблений актив перед першою несанкціонованою емісією.
Перший випуск 18,4 мільйона ZANO залишався непоміченим майже місяць. У команді пояснили, що незаконні монети виглядали як звичайні транзакції, а підозрілу активність внутрішні служби зафіксували лише після другої емісії.
У Zano зазначили, що ні тестування за допомогою штучного інтелекту, ні внутрішні аудити чи програми виплати винагород за знайдені помилки не змогли виявити цей дефект.
Тим часом у середу представники Zano повідомили, що працюють над відновленням постраждалих балансів за рахунок фонду розробників, особистих коштів учасників команди та добровільних внесків. Процес компенсації відбуватиметься переважно через біржі та платіжні сервіси: біржі повторять скасовані через відкат виведення коштів, а команда компенсує зниклі депозити.
Терміни в новині
- Токен
- Цифровий актив, випущений поверх наявного блокчейну за допомогою смарт-контракту, а не у власній мережі. Наприклад, USDT у мережі Ethereum чи Tron.
- Блокчейн
- Розподілена база даних із послідовно пов'язаних блоків з транзакціями. Копію зберігають тисячі учасників, тому змінити записи заднім числом практично неможливо.
- Транзакція
- Операція в блокчейні: переказ монет або виклик смарт-контракту, підписаний ключем відправника. Стає незворотною після підтвердження в блоці.
- Експлойт (exploit)
- Атака, що використовує помилку в коді смарт-контракту чи протоколу, щоб вивести кошти. На відміну від зламу ключів, зловмисник діє «за правилами» вразливого коду.
