Zano heeft zijn blockchain opnieuw opgestart vanaf blok 3,833,000 , waardoor ongeveer een maand aan transactiegeschiedenis verloren is gegaan. Dit komt doordat een kwetsbaarheid in het onlangs geïntroduceerde Gateway Address-systeem ervoor zorgde dat ongeautoriseerde ZANO- en Freedom Dollar (fUSD)-tokens in omloop kwamen.
De terugdraaiing vond plaats nadat Zano had vastgesteld dat de ongeautoriseerde activa niet betrouwbaar konden worden gescheiden van legitieme munten zodra ze in het netwerk waren terechtgekomen. Het herstel bracht de blockchain daarom terug naar het punt vlak voor Hard Fork 6 , die op 26 augustus gateway-adressen activeerde. De beslissing verwijderde tevens legitieme transacties die gedurende de betreffende periode waren geregistreerd.
Zano zei dat het incident de bestedingssleutels van wallets of de privacy van gewone transacties niet in gevaar heeft gebracht. Exchanges, miners, stakers, node-operators en andere diensten moeten echter overstappen naar de herstelde blockchain om de herstart op het hele netwerk te laten functioneren.
BELANGRIJKE TAKEAWAYS
- Zano heeft zijn blockchain opnieuw opgestart vanaf blok 3,833,000 na een beveiligingslek in het gatewayadres.
- De exploit creëerde 36.9 miljoen ongeautoriseerde ZANO en ongeveer 1.8 quadriljoen fUSD vóór de terugdraaiing.
- Volgens Zano heeft de aanval de bestedingssleutels van gebruikersportefeuilles of de normale transactieprivacy niet in gevaar gebracht.
- Legitieme transacties uit de betreffende periode zijn eveneens verwijderd uit de herstelde transactieketen.
- Zano werkt samen met beurzen en andere dienstverleners om de getroffen tegoeden te herstellen.
- Het project stelt dat de terugbetaling zal worden gefinancierd via het ontwikkelingsfonds, teambijdragen en andere toegezegde steun, en niet door het creëren van extra ZANO-faciliteiten.
KWETSBAARHEID IN GATEWAY-ADRES LEIDT TOT NOODTERUGDRAAIING
Gateway-adressen werden geïntroduceerd via Hard Fork 6 om de integratie van Zano met beurzen, bridges en betaaldiensten te vereenvoudigen. In tegenstelling tot de traditionele UTXO-adressen van Zano, gebruiken gateway-adressen een saldo in accountstijl, waardoor diensten fondsen op een vergelijkbare manier kunnen beheren als blockchain-systemen met accounts. Deze functie werd kort na de hard fork het toegangspunt voor de exploit. Volgens het postmortemrapport van Zano registreerde een aanvaller op 28 augustus een gateway-adres na betaling van de vereiste registratiekosten van 100 ZANO. De volgende dag gebruikte de aanvaller de kwetsbaarheid om in één transactie ongeveer 18.4 miljoen ZANO te creëren . Een andere exploit op 25 september leverde nog eens 18.4 miljoen ZANO op, gevolgd door de creatie van ongeveer 1.8 quadriljoen fUSD.
Het verwijderen van de ongeautoriseerde ZANO was bijzonder lastig, omdat deze zich na aanmaak gedroeg als een legitieme ZANO.
Zano legde uit:
“Deze munten functioneerden als authentieke ZANO en konden normaal worden uitgegeven.”
Daardoor had het project nog maar beperkte mogelijkheden om de beoogde levering te herstellen zonder het betreffende deel van het grootboek te herschrijven.
ROLLBACK VERWIJDERT OOK LEGITIEME TRANSACTIES
Zano's beslissing om de blockchain terug te zetten naar blok 3,833,000 betekent dat transacties die na dat punt zijn bevestigd, ontbreken in de herstelde blockchain. Gebruikers die in de betreffende maand legitieme betalingen hebben gedaan, kunnen deze transacties daarom missen in hun huidige transactiegeschiedenis.
De terugdraaiing kent ook beperkingen die verder reiken dan het netwerk van Zano zelf. Transacties met activa die al op afzonderlijke blockchains zijn afgewikkeld, kunnen niet worden teruggedraaid door de geschiedenis van Zano te wijzigen. Het team heeft getroffen gebruikers geadviseerd om transactie-ID's en handelsgegevens te bewaren totdat het herstelproces is afgerond. Beurzen en andere diensten moeten zelfstandig migreren naar de herstelde blockchain, wat betekent dat gebruikers moeten wachten tot de betreffende platforms bevestigen dat stortingen en opnames zijn hervat voordat ze geld kunnen overmaken.
MEXC was een van de beurzen die stortingen en opnames van ZANO en fUSD tijdelijk opschortte terwijl het herstel werd doorgevoerd.
ZANO BEGINT MET HERSTEL NA NETWERKHERSTART
Het project geeft aan dat de prioriteit nu ligt bij het herstellen van de door de terugdraaiing getroffen saldi en het helpen van beurzen, wallets en betalingsproviders om hun normale activiteiten te hervatten. Zano heeft aangegeven dat de financiering voor het herstel afkomstig zal zijn uit het ontwikkelingsfonds, van teamleden en van bijdragers die hun steun hebben toegezegd. Het project heeft tevens aangegeven dat het niet van plan is het aanbod van ZANO te verhogen om het herstel te financieren.
Het technische onderzoek heeft inmiddels een formeel rapport opgeleverd waarin wordt beschreven hoe de kwetsbaarheid in het gateway-adres is misbruikt en waarom deze onopgemerkt is gebleven. Zano heeft ook aangegeven dat de getroffen gateway-adresfunctionaliteit verder zal worden gecontroleerd, geaudit en getest voordat herstel wordt overwogen. Het incident bracht ook zwakke punten in het testproces rondom de nieuwe functie aan het licht. Volgens het rapport van Zano werd de kwetsbaarheid niet ontdekt tijdens interne audits, bug bounty-programma's en AI-ondersteunde tests voordat deze werd misbruikt.
CONCLUSIE
De maandlange terugdraaiing van Zano laat zien hoe moeilijk de keuzes kunnen zijn die volgen op een kwetsbaarheid op protocolniveau, wanneer ongeautoriseerde middelen niet meer te onderscheiden zijn van legitieme bronnen.
De herstart verwijderde de ongeautoriseerde ZANO- en fUSD-activiteit, maar wiste ook legitieme transacties en zorgde voor extra werk voor beurzen, dienstverleners en gebruikers. Zano staat nu voor de taak om de getroffen saldi te herstellen en tegelijkertijd aan te tonen dat het Gateway Address-systeem en de bijbehorende code veilig kunnen functioneren.
Het herstelproces zal uiteindelijk niet alleen afhangen van de bijgewerkte software, maar ook van een gecoördineerde implementatie binnen het netwerk. Voor Zano was het herstellen van het beoogde tokenaanbod slechts de eerste stap. Het herstellen van het vertrouwen in de infrastructuur van het netwerk en het vermogen ervan om de uitgifte van activa te beschermen, zal de uitdaging op de langere termijn zijn.
