Zano tiết lộ kẻ tấn công khai thác lỗ hổng Gateway Address trong tháng qua đã dùng lỗ hổng này để tạo 36,9 triệu Zano (ZANO) cùng các token Freedom Dollar (fUSD), trước khi blockchain được quyết định khôi phục về trạng thái của một tháng trước.
Trong bản phân tích sau sự cố được công bố hôm thứ Năm, Zano cho biết kẻ tấn công lần đầu khai thác lỗ hổng vào ngày 29 tháng 8, tạo khoảng 18,4 triệu ZANO trong một giao dịch duy nhất. Kẻ tấn công lặp lại hành vi này vào ngày 25 tháng 9, đúc thêm 18,4 triệu ZANO, sau đó dùng cùng phương thức để tạo fUSD. Đội ngũ cho biết một phần số token đã đi vào hệ sinh thái Zano.
“Các đồng tiền này hoạt động như ZANO chính thống và có thể được chi tiêu bình thường,” đội ngũ viết trong bản phân tích sau sự cố. Cointelegraph đã liên hệ với Zano để xin bình luận.
Các số liệu này cho thấy lý do đội ngũ Zano kêu gọi khôi phục lịch sử blockchain khoảng một tháng, bao gồm cả các giao dịch hợp pháp. Đội ngũ thừa nhận việc khôi phục sẽ làm tổn hại niềm tin, nhưng lập luận rằng biện pháp này cần thiết để loại bỏ nguồn cung trái phép vì không thể phân biệt số tiền này với các đồng tiền hợp pháp.
Kẻ tấn công đã trả phí 100 ZANO để thiết lập vụ khai thác
Bản phân tích sau sự cố của Zano cho biết kẻ tấn công đã trả 100 ZANO để thiết lập vụ khai thác, trị giá khoảng 553 USD tại thời điểm bài viết được công bố.
Kẻ tấn công đã đăng ký một Gateway Address vào ngày 28 tháng 8, trả phí đăng ký, rồi thử nghiệm một tài sản giả trước lần đúc trái phép đầu tiên vào ngày hôm sau.
Lần đúc 18,4 triệu ZANO đầu tiên không bị phát hiện trong gần một tháng. Đội ngũ cho biết các đồng tiền trái phép trông giống những đầu ra thông thường, còn các nhóm nội bộ đã gắn cờ hoạt động này sau lần đúc thứ hai.
Liên quan: Zano khôi phục blockchain về một tháng trước sau vụ khai thác Gateway Address
Zano cho biết hoạt động kiểm thử có sự hỗ trợ của AI, các cuộc kiểm toán nội bộ và chương trình tiền thưởng phát hiện lỗi đều không phát hiện được lỗ hổng này.
Trong khi đó, Zano cho biết hôm thứ Tư rằng họ đang làm việc để khôi phục số dư bị ảnh hưởng bằng quỹ phát triển, tiền cá nhân của các thành viên đội ngũ và các khoản đóng góp đã cam kết. Việc khôi phục chủ yếu sẽ được thực hiện thông qua các sàn giao dịch và dịch vụ thanh toán; các sàn sẽ phát lại những khoản rút tiền bị đảo ngược do việc khôi phục, còn đội ngũ sẽ ghi có các khoản tiền gửi bị ảnh hưởng.
Tạp chí: Trung Quốc cảnh báo gián điệp nước ngoài về crypto, Singapore thống trị châu Á: Asia Express