Команда Zano сообщила, что хакер, воспользовавшийся уязвимостью шлюзового адреса в течение последнего месяца, успел сгенерировать 36,9 миллиона монет ZANO, а также токены Freedom Dollar (fUSD), прежде чем было принято решение откатить блокчейн примерно на месяц назад.
В опубликованном в четверг отчете об инциденте Zano указала, что впервые уязвимость была эксплуатирована 29 августа: тогда за одну транзакцию создали около 18,4 миллиона ZANO. Злоумышленник повторил атаку 25 сентября, выпустив еще 18,4 миллиона ZANO, после чего применил ту же схему для создания fUSD. По данным команды, часть средств попала в экосистему проекта.
Эти монеты функционировали как подлинные ZANO и могли расходоваться в обычном режиме, отмечается в отчете. Редакция Cointelegraph обратилась к Zano за дополнительными комментариями.
Эти цифры объясняют, почему команда Zano пошла на беспрецедентный шаг — откат блокчейна примерно на месяц назад, затронувший и легитимные транзакции. Разработчики признали, что это решение ударит по доверию пользователей, но назвали его единственным способом изъять неавторизованную эмиссию, которую невозможно было отличить от законных монет.
Входной билет хакера обошелся в 100 ZANO
Согласно отчету Zano, для подготовки атаки злоумышленник заплатил комиссию в размере 100 ZANO, что на момент публикации статьи составляло около 553 долларов.
Хакер зарегистрировал адрес шлюза 28 августа, уплатил регистрационный сбор, а на следующий день проверил поддельный актив перед тем, как совершить первый несанкционированный выпуск.
Первая эмиссия 18,4 миллиона ZANO оставалась незамеченной почти месяц. Команда пояснила, что нелегальные монеты выглядели как стандартные выходы, а подозрительную активность внутренние специалисты зафиксировали лишь после второй волны выпуска.
В Zano отметили, что ни тестирование с привлечением искусственного интеллекта, ни внутренние аудиты, ни программы вознаграждения за найденные ошибки не смогли выявить эту брешь в защите.
Тем временем в среду представители Zano заявили, что занимаются восстановлением пострадавших балансов. Для этого используются средства из фонда разработчиков, личные сбережения участников команды и добровольные пожертвования. Возврат будет осуществляться главным образом через биржи и платежные сервисы: торговые площадки повторно проведут отмененные откатом выводы средств, а команда компенсирует пользователям затронутые депозиты.
