Paglalahad ng Isang Kritikal na Bug
Inihayag ng Zano ang isang bug na nag-udyok sa kanilang pambihirang 30-araw na blockchain rewind sa isang kamakailang postmortem. Isang umaatake ang nagsamantala sa kakulangan ng beripikasyon sa Gateway Addresses upang makalikha ng humigit-kumulang 18.4 milyong ZANO sa isang transaksyon, at pagkatapos ay inulit ang trick gamit ang fUSD.
Ang Pagsasamantala at mga Epekto Nito
Ang unang pagsasamantala ay hindi napansin sa loob ng halos isang buwan, habang ang sariling privacy machinery ng Zano ay nagpasalimuot sa mga pekeng barya na lalong mahirap makilala mula sa mga lehitimong barya. Ayon sa dev team, ang unang tunay na pagsasamantala ay lumikha ng 2^64 base units, humigit-kumulang 18.4 milyong ZANO, sa isang transaksyon. Walang nakapansin dito sa loob ng halos isang buwan.
“Sa madaling salita, bawat transaksyon ng Zano ay dapat patunayan na ang mga barya ay nilikha mula sa mga patakaran ng consensus,” ipinaliwanag ng koponan.
Ang Problema sa Gateway Addresses
Nagsimula ang problema sa Gateway Addresses, isang bagong uri ng address na ipinakilala sa Hard Fork 6 upang gawing mas madali ang pagsasama ng Zano sa mga centralized exchange (CEX) platforms, bridges, at iba pang serbisyo. Ang mga Gateway outputs ay naglalantad ng halaga at asset ID, hindi tulad ng mga karaniwang confidential outputs ng Zano, kung saan ang parehong impormasyon ay nakatago.
Gayunpaman, ang implementasyon ay kulang sa isang kritikal na beripikasyon. Inihayag ng Zano na ang isang umaatake ay makakabuo ng isang espesyal na nakalkulang asset identifier na patuloy na nakasunod sa mga patunay ng transaksyon ng network habang naglalagay ng arbitraryong halaga sa isang nakatagong output.
Mga Hakbang ng Umaatake
Ang umaatake ay nagrehistro ng isang Gateway Address noong Agosto 28, nagbayad ng kinakailangang 100 ZANO na bayad, at tila sinubukan kung tatanggapin ng Zano ang isang nakabuo ng hindi umiiral na asset. Kinabukasan, nag-umpisa na ang laban. Isang transaksyon ang lumikha ng humigit-kumulang 18.4 milyong ZANO, na kasalukuyang nagkakahalaga ng humigit-kumulang $102 milyon.
Halos isang buwan mamaya, noong Setyembre 24, ang umaatake ay gumawa ng dalawang lehitimong deposito ng 0.05 ZANO bawat isa, tila sinusubukan ang ordinaryong ruta ng deposito. Noong Setyembre 25, isa pang 18.4 milyong ZANO ang nalikha, kasunod ng parehong 2^64-base-unit maneuver gamit ang fUSD stablecoin. Sa kabuuan, iyon ay higit sa $200 milyon na halaga ng iligal na crypto tokens.
Mga Pagsusuri at Resulta
Ang Zano ay nagsagawa ng mga pagsusuri na tinulungan ng artificial intelligence (AI), mga audit ng koponan, at mga bug bounty program bago ang Hard Fork 6. Walang nakakita sa kahinaan. “Ang unang pagsasamantala ay hindi natukoy sa loob ng halos isang buwan dahil ang nadagdag na output ay tila katulad ng anumang iba pang pribadong output,” sinabi ng koponan.
Sa oras na pumasok ang mga pekeng barya sa confidential transaction system ng Zano, ang pagtukoy kung saan sila napunta ay naging ibang proposisyon. Ang mga ring signatures ay naghalo ng mga gastos sa iba pang outputs, na nagdudulot ng kawalang-katiyakan sa tuwing ang mga barya ay gumagalaw.
Mga Hakbang na Isinasagawa ng Zano
Ang tanging paraan upang beripikahin ang integridad ng suplay ay ipagpatuloy ang chain mula sa isang punto bago ang unang pagsasamantala. Ang puntong iyon ay block 3,833,000, bago ang Hard Fork 6. Ang Hard Fork 7 ay muling sinimulan ang chain mula doon at pinatigil ang Gateway Addresses, na nangangahulugang ang mga transaksyon, staking rewards, at mined blocks mula sa apektadong panahon ay hindi na umiiral sa na-update na ledger.
Dagdag pa ng Zano na ang mga apektadong balanse ay maibabalik nang buo nang hindi binabago ang suplay o iskedyul ng emission ng ZANO. Ang pondo ay magmumula sa development fund, personal na pera ng mga miyembro ng koponan, at mga panlabas na kontribyutor.
“Walang kinakailangang aksyon sa ngayon,” sinabi ng koponan sa mga gumagamit sa kanilang mga social media channel.
Inanunsyo ng Zano team noong Martes na isang hot fix ang naipataw at ang “network ay matatag sa…”
