Zano hat seine Blockchain ab Block 3,833,000 neu gestartet und damit effektiv etwa einen Monat Transaktionshistorie gelöscht, nachdem eine Sicherheitslücke im neu eingeführten Gateway-Adresssystem es unautorisierten ZANO- und Freedom Dollar (fUSD)-Token ermöglicht hatte, in Umlauf zu gelangen.
Der Rollback erfolgte, nachdem Zano festgestellt hatte, dass die unautorisierten Vermögenswerte nach ihrem Eintritt in das Netzwerk nicht zuverlässig von den legitimen Coins getrennt werden konnten. Die Wiederherstellung setzte die Blockchain daher auf den Stand unmittelbar vor Hard Fork 6 zurück , der am 26. August Gateway-Adressen aktivierte. Durch die Entscheidung wurden auch alle legitimen Transaktionen entfernt, die während des betroffenen Zeitraums aufgezeichnet wurden.
Zano erklärte, der Vorfall habe weder die Wallet-Ausgabeschlüssel noch die Vertraulichkeit gewöhnlicher Transaktionen beeinträchtigt. Allerdings müssen Börsen, Miner, Staker, Node-Betreiber und andere Dienste auf die wiederhergestellte Blockchain migrieren, damit der Neustart im gesamten Netzwerk funktioniert.
ZUSAMMENFASSUNG
- Zano hat seine Blockchain nach einer Sicherheitslücke in der Gateway-Adresse ab Block 3,833,000 neu gestartet.
- Der Exploit erstellt 36.9 Millionen nicht autorisierte ZANO und ungefähr 1.8 Billiarden fUSD vor der Rücknahme der Änderungen.
- Laut Zano wurden durch den Angriff weder die Wallet-Ausgabeschlüssel der Nutzer noch die gewöhnliche Transaktionsprivatsphäre beeinträchtigt.
- Auch legitime Transaktionen aus dem betroffenen Zeitraum wurden aus der wiederhergestellten Transaktionskette entfernt.
- Zano arbeitet mit Börsen und anderen Dienstleistern zusammen, um die betroffenen Guthaben wiederherzustellen.
- Laut Projektangaben erfolgt die Kostenerstattung aus dem Entwicklungsfonds, Teambeiträgen und anderer zugesagter Unterstützung und nicht durch die Schaffung zusätzlicher ZANO.
Sicherheitslücke an Gateway-Adresse löst Notfall-Rollback aus
Gateway-Adressen wurden mit Hard Fork 6 eingeführt, um die Integration von Börsen, Bridges und Zahlungsdiensten in Zano zu vereinfachen. Im Gegensatz zu den herkömmlichen UTXO-basierten Adressen von Zano verwenden Gateway-Adressen ein kontoähnliches Guthaben, das es Diensten ermöglicht, Gelder ähnlich wie in kontobasierten Blockchain-Systemen zu verwalten. Diese Funktion wurde kurz nach dem Hard Fork zum Einfallstor für einen Exploit. Laut Zanos Post-Mortem-Bericht registrierte ein Angreifer am 28. August eine Gateway-Adresse, nachdem er die erforderliche Registrierungsgebühr von 100 ZANO entrichtet hatte. Am folgenden Tag nutzte der Angreifer die Schwachstelle, um in einer einzigen Transaktion etwa 18.4 Millionen ZANO zu erzeugen . Ein weiterer Exploit am 25. September generierte weitere 18.4 Millionen ZANO, gefolgt von der Erzeugung von etwa 1.8 Billiarden fUSD.
Das nicht autorisierte ZANO war besonders schwer zu entfernen, da es sich nach seiner Erstellung wie ein legitimes ZANO verhielt.
Zano erklärte:
„Diese Münzen funktionierten wie echte ZANO und konnten normal ausgegeben werden.“
Damit blieben dem Projekt nur begrenzte Möglichkeiten, die geplante Versorgung wiederherzustellen, ohne den betroffenen Teil des Hauptbuchs neu zu schreiben.
ROLLBACK LÖSCHT AUCH LEGITIMALE TRANSAKTIONEN.
Zanos Entscheidung, die Blockchain auf Block 3,833,000 zurückzusetzen , bedeutet, dass Transaktionen, die nach diesem Zeitpunkt bestätigt wurden, in der wiederhergestellten Blockchain fehlen. Nutzern, die im betroffenen Monat rechtmäßige Zahlungen getätigt haben, fehlen diese Transaktionen daher möglicherweise in ihrer aktuellen Transaktionshistorie.
Der Rollback hat auch über das Zano-Netzwerk hinausgehende Grenzen. Transaktionen mit Vermögenswerten, die bereits auf anderen Blockchains abgewickelt wurden, können nicht durch eine Änderung der Zano-Historie rückgängig gemacht werden. Das Team empfiehlt betroffenen Nutzern, Transaktions-IDs und Handelsaufzeichnungen aufzubewahren, bis der Wiederherstellungsprozess abgeschlossen ist. Börsen und andere Dienste müssen unabhängig voneinander auf die wiederhergestellte Blockchain migrieren. Nutzer müssen daher warten, bis die einzelnen Plattformen die Wiederaufnahme von Ein- und Auszahlungen bestätigen, bevor sie Gelder transferieren.
MEXC gehörte zu den Börsen, die Ein- und Auszahlungen in ZANO und fUSD vorübergehend aussetzten, während die Wiederherstellungsmaßnahmen umgesetzt wurden.
ZANO BEGINNT DIE WIEDERHERSTELLUNG NACH EINEM NETZWERK-NEUSTART
Das Projekt gibt an, dass die Wiederherstellung der durch die Rücksetzung betroffenen Guthaben und die Unterstützung von Börsen, Wallets und Zahlungsanbietern bei der Rückkehr zum Normalbetrieb nun Priorität hat. Zano erklärte, die Mittel für die Wiederherstellung würden aus dem Entwicklungsfonds, von Teammitgliedern und Unterstützern stammen, die ihre Hilfe zugesagt haben. Das Projekt betonte außerdem, dass es nicht beabsichtigt, das Angebot an ZANO zur Finanzierung der Wiederherstellung zu erhöhen.
Die technische Untersuchung hat inzwischen einen formellen Bericht zur Aufklärung des Vorfalls erstellt, der darlegt, wie die Gateway-Adress-Schwachstelle ausgenutzt wurde und warum sie unentdeckt blieb. Zano erklärte außerdem, dass die betroffene Gateway-Adress-Funktionalität weiterhin geprüft, auditiert und getestet wird, bevor eine Wiederherstellung in Betracht gezogen wird. Der Vorfall legte zudem Schwächen im Testprozess der neuen Funktion offen. Laut Zanos Bericht konnten interne Audits, Bug-Bounty-Programme und KI-gestützte Tests die Schwachstelle nicht identifizieren, bevor sie ausgenutzt wurde.
FAZIT
Zanos einmonatiger Rückruf verdeutlicht die schwierigen Entscheidungen, die auf eine Sicherheitslücke auf Protokollebene folgen können, wenn nicht autorisierte Ressourcen nicht mehr von legitimen Angeboten zu unterscheiden sind.
Der Neustart beseitigte zwar die unautorisierten ZANO- und fUSD-Aktivitäten, löschte aber auch legitime Transaktionen und verursachte zusätzlichen Aufwand für Börsen, Dienstleister und Nutzer. Zano steht nun vor der Aufgabe, die betroffenen Guthaben wiederherzustellen und gleichzeitig nachzuweisen, dass das Gateway-Adresssystem und der zugehörige Code sicher funktionieren.
Der Wiederherstellungsprozess hängt letztendlich nicht nur von der aktualisierten Software ab, sondern auch von einer koordinierten Implementierung im gesamten Netzwerk. Für Zano war die Wiederherstellung des geplanten Token-Angebots nur der erste Schritt. Die Wiederherstellung des Vertrauens in die Netzwerkinfrastruktur und ihre Fähigkeit, die Ausgabe von Vermögenswerten zu schützen, wird die langfristige Herausforderung darstellen.
