Злоумышленник воспользовался уязвимостью в системе Gateway Address проекта Zano и выпустил 36,9 миллиона токенов ZANO и 1,8 квадриллиона Freedom Dollar (fUSD) до того, как сеть откатила примерно месяц истории блокчейна, согласно опубликованному в четверг пост-мортему.
Эксплойт развивался в два этапа. 29 августа злоумышленник сгенерировал около 18,4 миллиона ZANO за одну транзакцию. Почти месяц спустя, 25 сентября, вторая эмиссия принесла ещё 18,4 миллиона ZANO. Тем же методом было создано примерно 1,8 квадриллиона токенов fUSD.
Поддельные токены вели себя идентично легитимным ZANO и могли свободно переводиться и расходоваться, говорится в раскрытии команды. Квинтен ван Велзен, руководитель отдела маркетинга и развития Zano, сообщил Cointelegraph, что в обращение попала лишь ограниченная часть из-за низкой ликвидности на биржах.
Поскольку поддельная эмиссия была неотличима от настоящих монет, команда Zano пришла к выводу, что откат блокчейна — единственный способ устранить несанкционированные токены. Команда признала, что решение подорвёт доверие, но подчеркнула, что оно неизбежно из-за невозможности отделить мошеннические выводы от легитимных.
Настройка эксплойта обошлась в 100 ZANO
Злоумышленник потратил 100 ZANO — примерно $553 на момент публикации — чтобы запустить эксплойт, говорится в пост-мортеме.
28 августа атакующий зарегистрировал Gateway Address, оплатил необходимую комиссию и протестировал фальшивый актив. На следующий день последовала первая несанкционированная эмиссия.
Внутренний мониторинг не выявил выпуск первых 18,4 миллионов ZANO почти четыре недели. Поддельные выводы выглядели как стандартные транзакции, и команды заметили подозрительную активность только после второй эмиссии.
В Zano сообщили, что автоматизированное тестирование на базе ИИ, внутренние проверки и баг-баунти программы не позволили обнаружить уязвимость до момента эксплуатации.
В среду Zano объявила, что работает над восстановлением балансов пользователей, затронутых откатом. Финансирование будет поступать из резервов разработчиков проекта, личных вкладов участников команды и дополнительных пожертвований. Восстановление будет осуществляться в первую очередь через биржи и платёжные платформы. Ожидается, что биржи повторят выводы, которые были отменены, а Zano компенсирует депозиты, затронутые откатом.
Источник: cointelegraph.com