Zano раскрыл, что злоумышленник, который воспользовался его уязвимостью Gateway Address в течение последнего месяца, применил ее для создания 36,9 млн Zano (ZANO), а также токенов Freedom Dollar (fUSD), прежде чем было принято решение откатить блокчейн на месяц.
В постмортем-материале, опубликованном в четверг, Zano заявил, что злоумышленник сначала использовал уязвимость 29 августа, создав примерно 18,4 млн ZANO в одной транзакции. Затем злоумышленник повторил эксплойт 25 сентября, отчеканив еще 18,4 млн ZANO, прежде чем с помощью того же метода создать fUSD. Команда сообщила, что часть средств поступила в экосистему Zano.
«Эти монеты работали как подлинные ZANO и могли тратиться в обычном режиме», — написала команда в своем пост-мортеме. Cointelegraph обратился к Zano за комментариями.
Эти цифры проливают свет на то, почему команда Zano призвала откатить примерно месяц истории блокчейна, включая легитимные транзакции. Команда признала, что откат подорвет доверие, но утверждала, что он необходим, чтобы удалить несанкционированное предложение, так как его нельзя отличить от легитимных монет.
Злоумышленник заплатил 100 ZANO за входной взнос за эксплойт
В своем пост-мортеме Zano сообщила, что злоумышленник заплатил 100 ZANO за настройку эксплойта, что на момент публикации составляло около $553.
Злоумышленник зарегистрировал Gateway Address 28 августа, оплатил регистрационный сбор, а затем протестировал сфабрикованный актив перед первым несанкционированным минтингом на следующий день.
Первые 18,4 млн ZANO-коинов, отчеканенные без разрешения, прошли незамеченными почти месяц. Команда заявила, что несанкционированные монеты выглядели как обычные выходы, а внутренние подразделения обнаружили активность после второй сессии майнтинга.
Zano утверждала, что ни ИИ-ассистированное тестирование, ни внутренние аудиты, ни программы по поиску уязвимостей не помогли выявить эту проблему.
Тем временем Zano заявила в среду, что работает над восстановлением затронутых балансов с использованием своего фонда для разработчиков, личных средств членов команды и сделанных ими взносов. Восстановление в основном будет проходить через биржи и платежные сервисы: биржи будут повторно выполнять отклоненные из-за отката снятия, а команда засчитала затронутые депозиты.
Журнал: Китай предупреждает иностранных шпионов о криптовалюте, Сингапур доминирует в Азии: Азия Экспресс