Команда Zano повідомила, що хакер, який минулого місяця скористався вразливістю шлюзової адреси, встиг згенерувати 36,9 мільйона монет Zano (ZANO), а також токени Freedom Dollar (fUSD), перш ніж блокчейн вирішили відкотити на місяць назад.
У звіті за підсумками інциденту, опублікованому в четвер, Zano зазначила, що зловмисник вперше скористався вразливістю 29 серпня, створивши приблизно 18,4 мільйона ZANO в одній транзакції. Хакер повторив атаку 25 вересня, випустивши ще 18,4 мільйона ZANO, після чого застосував той самий метод для створення fUSD. Представники проєкту додали, що частина активів потрапила в екосистему Zano.
Ці монети функціонували як справжні ZANO і могли використовуватися у звичайних операціях, пояснила команда у своєму звіті. Видання Cointelegraph звернулося до Zano за коментарями.
Ці цифри пояснюють, чому розробники Zano наважилися на відкат історії блокчейна приблизно на місяць, що зачепило й легітимні транзакції. Команда визнала, що такий крок завдасть удару по довірі, проте наголосила на його необхідності для видалення несанкціонованої емісії, яку неможливо було відокремити від справжніх монет.
Хакер заплатив 100 ZANO комісії за реалізацію експлойту
Згідно зі звітом Zano, нападник сплатив 100 ZANO для налаштування атаки, що на момент публікації становило близько 553 доларів.
Хакер зареєстрував шлюзову адресу 28 серпня, сплатив реєстраційний внесок, а наступного дня протестував підроблений актив перед першим несанкціонованим випуском.
Першу емісію у 18,4 мільйона ZANO не помічали майже місяць. За словами команди, незаконно створені монети виглядали як звичайні виходи, і внутрішні співробітники зафіксували підозрілу активність лише після другої емісії.
У Zano зазначили, що тестування за допомогою штучного інтелекту, внутрішні аудити та програми виявлення помилок за винагороду не змогли виявити цей баг.
Тим часом у середу представники Zano заявили, що працюють над відновленням постраждалих балансів за рахунок фонду розробників, власних коштів членів команди та добровільних внесків. Процес компенсації відбуватиметься переважно через біржі та платіжні сервіси: біржі повторять скасовані відкатом виведення коштів, а команда зарахує відповідні депозити.
