Zano перезапустила свой блокчейн с блока 3 833 000 после того, как уязвимость в адресе шлюза позволила несанкционированному доступу к токенам ZANO и Freedom Dollar в обращение, что привело к удалению примерно месячной истории сети.
- Zano перезапустился с блока 3 833 000, удалив транзакции примерно за месяц после взлома шлюза.
- Уязвимость в адресе шлюза позволила несанкционированному доступу к ZANO и fUSD без компрометации ключей кошельков.
- Министерство экономики, торговли и промышленности Мексики (MEXC) приостановило внесение и вывод средств в валютах ZANO и FUSD на время переноса сервисов на восстановленную цепочку.
- Компания Zano заявляет, что возмещение будет осуществляться за счет средств разработчиков, команды и крупных держателей токенов без выпуска дополнительных токенов ZANO.
- В воскресенье, в связи с продолжающимся процессом восстановления сети, акции ZANO упали более чем на 12% за 24 часа.
Основная команда Zano заявила в воскресенье, что выбранный блок находится непосредственно перед хардфорком 6, который активировал функцию Gateway Address в августе. Для экстренного восстановления майнерам, стейкерам, узлам, биржам, пулам и другим сервисам необходимо установить обновленное программное обеспечение и следить за восстановленной цепочкой.
Транзакции, подтвержденные в течение затронутого месяца, больше не входят в восстановленный блокчейн. Пользователям рекомендовано сохранять идентификаторы транзакций и записи о торговых операциях, а также проверять статус предыдущих переводов перед повторной отправкой платежей.
Откат не может отменить транзакции, завершенные вне Zano. Согласно проекту, активы, уже рассчитанные в виде USDT, DAI или других токенов в отдельных сетях, остаются вне зоны действия перезапуска цепочки.
Откат Zano удаляет активность адресов шлюзов, начиная с хардфорка 6.
Шестой хардфорк был запущен 26 августа на блоке 3 833 000, внедрив в Zano адресные шлюзы и ряд других изменений протокола. Разработка системы адресации заняла более года до её развертывания.
Адреса шлюза были созданы для бирж, мостов и платежных систем, которым было сложно интегрировать обычную модель неизрасходованных транзакций Zano. В отличие от обычных кошельков Zano, новые адреса хранят баланс в виде счета непосредственно в блокчейне.
До обновления операторам сервиса приходилось сканировать выходные средства, отслеживать входящие транзакции и управлять тем, какие выходные средства расходуются при снятии наличных. Адреса шлюза были призваны предоставить этим операторам единый баланс, сохраняя при этом функции конфиденциальности, используемые в обычных транзакциях Zano.
Для регистрации требовался единовременный взнос в размере 100 ZANO, который протокол безвозвратно сжигал. Согласно записям форума Zano, в течение первой недели работы этой функции в основной сети было зарегистрировано как минимум два адреса шлюза.
Команда пока не опубликовала обещанный технический анализ, объясняющий, как именно уязвимость привела к несанкционированному доступу к активам. В уведомлении о восстановлении говорится, что проблема затронула выпуск активов через адреса шлюзов, включая собственные криптовалюты ZANO и fUSD.
Согласно результатам расследования проекта, конфиденциальность обычных транзакций и ключи расходования средств в кошельке не были скомпрометированы. Команда заявила, что базовый консенсус Zano остался нетронутым, и что экстренное обновление удаляет активность, созданную с помощью уязвимой функции.
Для экстренного выпуска требуется, чтобы службы выбрали восстановленную цепочку.
Согласно официальному форуму проекта, в процессе восстановления появилась новая версия программного обеспечения Zano — 2.2.3.600. Операторам узлов, майнерам, стейкерам, пулам и поставщикам услуг было настоятельно рекомендовано установить аварийное программное обеспечение и проверить опубликованные контрольные суммы.
Обычные пользователи кошелька могут установить обновленную версию без ввода своих сид-фраз. Zano начал восстанавливать свои собственные сервисы по отдельности, включая узел мобильного кошелька и сервис обертывания.
Сторонние платформы должны обновляться отдельно. Zano предупредила пользователей о необходимости проверить, перешла ли на новую платформу та или иная биржа, кошелек, мост или платежный провайдер, прежде чем отправлять средства через эти сервисы.
MEXC временно приостановила внесение и вывод средств по валютам ZANO и FUSD по запросу проектной группы. На момент публикации уведомления биржа не объявила о времени возобновления работы.
Восстановление зависит от того, примут ли участники сети новое программное обеспечение. Квинтен ван Вельзен, руководитель отдела маркетинга и развития Zano, отверг утверждения о том, что команда может в одностороннем порядке стереть историю блокчейна.
«Команда не может отменить Zano», — сказал ван Вельзен, объясняя, что разработчики могут выпускать программное обеспечение и просить операторов связи внедрять его.
Он признал, что крупные майнинговые пулы играют существенную роль в решении о том, какая цепочка получит поддержку, и заявил, что более широкая база независимых операторов укрепит Zano.
Эта ситуация имеет параллели с другими недавними попытками восстановления блокчейна. В аналогичном материале crypto.news сообщало , что валидаторы Cronos восстановили цепочку до состояния, предшествовавшего взлому, после инцидента с Tectonic.
В ходе последующего анализа Cronos было установлено, что валидаторы вернули примерно 111,2 миллиона долларов США от затронутой суммы, в то время как 9,19 миллиона долларов США остались вне зоны восстановления после вывода средств из сети.
Издание Crypto.news отдельно сообщило о предложенном Harmony откате средств после того, как в августе в обращение попали поддельные ONE. Предложенное восстановление могло привести к отмене более 109 000 обычных транзакций.
Zano планирует возмещение средств без выпуска новых токенов.
Откат, длившийся месяц, аннулирует законные платежи, совершенные одновременно с несанкционированной активностью с токенами, в результате чего у бирж, предприятий и пользователей могут остаться записи, которые больше не будут соответствовать восстановленному блокчейну.
Компания Zano заявила, что работает с пострадавшими проектами и контрагентами над расчетом убытков. Официальная процедура возмещения и подачи заявок еще не опубликована.
Ван Вельзен заявил, что финансирование будет поступать из фонда развития, от активов команды и крупных акционеров, которые выделили ресурсы на восстановление. Он сказал, что план возмещения не будет предусматривать создание дополнительных ZANO.
«Ежемесячная переписка между людьми» усложняет процесс возмещения расходов, сказал он, признавая при этом, что команда еще не урегулировала все этапы процесса рассмотрения заявок.
Первоначально в описании проекта говорилось о гораздо более коротком сроке отмены изменений, пока следователи определяли масштабы уязвимости. Позже Ван Вельзен признал, что первоначальные сообщения, содержащие упоминания о «24 часах» и «отсутствии другого выбора», были выпущены до того, как команда полностью разобралась в инциденте.
Перезапуск с блока, существовавшего до хардфорка 6, в конечном итоге увеличил период, затронутый проблемой, примерно до одного месяца. Команда заявила, что более глубокий откат удаляет несанкционированные ZANO и fUSD из восстановленной цепочки.
Компания Zano планирует опубликовать техническую причину уязвимости, результаты анализа соответствующего кода адресов шлюза и условия, которые должны быть выполнены для восстановления работы функции. Дата повторной активации адресов шлюза пока не объявлена.
Цена на ZANO падает на фоне продолжающегося восстановления экономики.
Согласно данным CoinMarketCap, в период восстановления курс ZANO составлял около 6,32 доллара США, снизившись примерно на 12,85% за 24 часа. Заявленная рыночная капитализация составила около 97,6 млн долларов США, а объем торгов за 24 часа — приблизительно 64 000 долларов США.
Zano был запущен в 2019 году как блокчейн первого уровня, ориентированный на конфиденциальность и использующий гибридную систему Proof-of-Work и Proof-of-Stake. В его стандартных транзакциях используются инструменты обеспечения конфиденциальности, которые скрывают информацию об отправителе и получателе, суммах и типах активов.
Хардфорк 6 был представлен как способ упростить интеграцию сети с биржами и кроссчейн-сервисами. До появления уязвимости Zano заявлял, что адреса шлюзов (Gateway Addresses) предоставят операторам сервисов непосредственно читаемые балансы, оставив при этом обычное поведение кошелька без изменений.
В проекте теперь заявляют, что адреса шлюзов будут по-прежнему подвергаться проверке кода перед их возвращением. Ожидается, что в предстоящем техническом отчете будут рассмотрены причины возникновения уязвимости, связанный с ней код адресов шлюзов и критерии, необходимые для безопасного возобновления работы этой функции.