L’exploiter di Zano ha coniato più di un quadrilione di fUSD prima del rollback della blockchain

Aggiornamento (2 ottobre alle 6:53 UTC): questo articolo è stato aggiornato per includere un commento di Quinten van Welzen, responsabile marketing e crescita di Zano.

Zano ha rivelato che l’attaccante che nell’ultimo mese ha sfruttato la vulnerabilità del Gateway Address ha utilizzato l’exploit per creare 36,9 milioni di Zano (ZANO), insieme a 1,8 quadrilioni di token Freedom Dollar (fUSD), prima che venisse presa la decisione di riportare indietro la blockchain di un mese. 

In un’analisi post-mortem pubblicata giovedì, Zano ha dichiarato che l’attaccante ha sfruttato per la prima volta la vulnerabilità il 29 agosto, creando circa 18,4 milioni di ZANO in una singola transazione. L’attaccante ha ripetuto l’exploit il 25 settembre, coniando altri 18,4 milioni di ZANO, prima di utilizzare lo stesso metodo per creare circa 1,8 quadrilioni di fUSD.

«Queste monete funzionavano come ZANO autentici e potevano essere spese normalmente», ha scritto il team nella sua analisi post-mortem. Quinten van Welzen, portavoce di Zano, ha dichiarato a Cointelegraph che solo una piccola frazione ha raggiunto il mercato, poiché era limitata dalla liquidità disponibile sugli exchange.

Le cifre chiariscono perché il team di Zano abbia chiesto un rollback di circa un mese della cronologia della blockchain, comprese le transazioni legittime. Il team ha riconosciuto che il rollback avrebbe danneggiato la fiducia, ma ha sostenuto che fosse necessario per rimuovere l’offerta non autorizzata, poiché non era possibile distinguerla dalle monete legittime.

L’attaccante ha pagato una commissione d’ingresso di 100 ZANO per l’exploit 

Secondo l’analisi post-mortem di Zano, l’attaccante ha pagato 100 ZANO per predisporre l’exploit, per un valore di circa 553 dollari al momento della pubblicazione.

L’attaccante ha registrato un Gateway Address il 28 agosto, ha pagato la commissione di registrazione e poi ha testato un asset contraffatto prima del primo conio non autorizzato, avvenuto il giorno seguente. 

Il primo conio di 18,4 milioni di ZANO è passato inosservato per quasi un mese. Il team ha dichiarato che le monete non autorizzate apparivano come normali output e che i team interni hanno segnalato l’attività dopo il secondo conio.

Correlato: Zano riporta indietro la blockchain di un mese dopo l’exploit del Gateway Address

Zano ha dichiarato che i test assistiti dall’IA, gli audit interni e i bug bounty non sono riusciti a individuare il bug. 

Nel frattempo, mercoledì Zano ha dichiarato di lavorare al ripristino dei saldi interessati utilizzando il fondo per gli sviluppatori, i fondi personali dei membri del team e i contributi già impegnati. Il recupero avverrà principalmente tramite exchange e servizi di pagamento: gli exchange dovranno ripetere i prelievi annullati dal rollback, mentre al team verranno accreditati i depositi interessati. 

Rivista: La Cina mette in guardia le spie straniere sulle crypto, Singapore domina l’Asia: Asia Express