Zano rollback raakt ook legitieme transacties

Zano heeft de blockchain ongeveer een maand teruggedraaid nadat een aanvaller via een kwetsbaarheid in Gateway Address circa 36,9 miljoen ongeautoriseerde ZANO en fUSD creëerde. De rollback raakte ook legitieme transacties, omdat de nieuwe munten niet te onderscheiden waren van bestaande voorraad; Cointelegraph meldde in de kop en feed dat de aanvaller meer dan een biljard fUSD had aangemaakt, maar de artikeltekst geeft daarvoor geen afzonderlijk totaal.

De omvang van de ZANO-mints verklaart waarom het incident niet met een gerichte verwijdering kon worden opgelost. Zodra ongeautoriseerde munten zich gedragen als gewone tokens, kan een netwerk niet zonder meer vaststellen welke transacties met de echte en welke met de nieuw gecreëerde voorraad zijn uitgevoerd.

Gateway Address-exploit leidde tot twee grote ZANO-mints

Volgens het post-mortem van Zano registreerde de aanvaller op 28 augustus een Gateway Address en betaalde daarvoor 100 ZANO. Dat bedrag was volgens de berichtgeving op het moment van publicatie ongeveer 553 dollar waard. Na een test met een nagemaakt activum volgde op 29 augustus de eerste ongeautoriseerde creatie: circa 18,4 miljoen ZANO in één transactie.

Op 25 september gebruikte de aanvaller dezelfde methode opnieuw en creëerde nog eens ongeveer 18,4 miljoen ZANO. Daarna werd ook fUSD op ongeautoriseerde wijze aangemaakt; een deel van de tokens kwam volgens het team in het Zano-ecosysteem terecht. Het precieze fUSD-totaal staat niet in de artikeltekst, waardoor het getal uit de kop en feed niet als een afzonderlijk bevestigd cijfer in het post-mortem kan worden behandeld.

De eerste mint bleef bijna een maand onopgemerkt. De outputs leken op gewone transacties, terwijl interne teams de activiteit pas na de tweede mint signaleerden. Dat maakte de kwetsbaarheid niet alleen een probleem voor de tokenuitgifte, maar ook voor de betrouwbaarheid van transacties die ondertussen op de blockchain waren verwerkt.

De terugdraaiing van ongeveer een maand blockchainhistorie verwijderde de ongeautoriseerde voorraad, maar zette ook geldige transacties uit die periode terug. De gevolgen voor gebruikers en diensten waren daarmee breder dan alleen het bevriezen of verwijderen van de tokens die rechtstreeks bij de exploit betrokken waren. De eerdere teruggedraaide Zano-transacties laten zien waarom de maatregel ook gebruikers raakte die niets met de kwetsbaarheid te maken hadden.

Niet te onderscheiden munten maakten rollback noodzakelijk

Een gewone burn of blacklist bood volgens Zano geen oplossing, omdat het netwerk geen betrouwbaar onderscheid kon maken tussen de ongeautoriseerde munten en legitieme ZANO. Het team schreef in het post-mortem: “These coins functioned as authentic ZANO and could be spent normally,” Daarmee onderstreepte het dat de tokens normaal konden worden uitgegeven en niet simpelweg als afzonderlijke, verdachte activa konden worden geblokkeerd.

Zano erkende dat de rollback het vertrouwen zou schaden, maar stelde dat die nodig was om de ongeautoriseerde voorraad te verwijderen. De keuze betekende dat de geschiedenis van het netwerk werd aangepast om een probleem met de integriteit van de tokenvoorraad aan te pakken. Voor gebruikers betekende dit concreet dat transacties uit de teruggedraaide periode opnieuw moesten worden beoordeeld.

Herstel van getroffen saldi loopt via diensten

Zano werkt aan het herstellen van saldi die door de rollback zijn geraakt. Daarvoor noemt het team middelen uit het ontwikkelaarsfonds, persoonlijke bijdragen van teamleden en toegezegde bijdragen van anderen. Het herstel verloopt hoofdzakelijk via exchanges en betalingsdiensten, in plaats van als één algemene aanpassing voor alle gebruikers.

Exchanges zullen opnames opnieuw verwerken die door de terugdraaiing ongedaan zijn gemaakt; het Zano-team zal getroffen stortingen crediteren. De uitvoering daarvan is van belang voor gebruikers die tijdens de betrokken periode transacties via zulke diensten hebben gedaan. Ook de gevolgen van ongeautoriseerde tokenvrijgave bij crypto-exploits maken duidelijk dat herstel niet ophoudt bij het oplossen van de technische fout: ook de verwerking van tegoeden en transacties moet worden afgehandeld.

Zano meldde bovendien dat AI-ondersteund testen, interne audits en bugbounties de kwetsbaarheid vooraf niet hadden ontdekt. De primaire berichtgeving bevat geen bevestigde details over een specifieke toekomstige technische upgrade of het opnieuw invoeren van Gateway Addresses. Voor gebruikers zijn daarom vooral de voortgang van het herstel via exchanges en betalingsdiensten en de afhandeling van legitieme transacties uit de teruggedraaide periode van belang.