پروژه Zano اعلام کرد که یک مهاجم با بهره‌برداری از یک آسیب‌پذیری در Gateway Address، موفق شد مقادیر عظیمی از توکن‌های این شبکه را به صورت غیرمجاز تولید (Mint) کند. این حمله منجر به ایجاد ۳۶.۹ میلیون توکن ZANO و حدود ۱.۸ کوادریلیون توکن Freedom Dollar (fUSD) شد.
جزئیات فنی حمله و روند بهره‌برداری
بر اساس گزارش پس از حادثه (Post-mortem)، مهاجم ابتدا در تاریخ ۲۹ آگوست با اجرای یک تراکنش واحد، ۱۸.۴ میلیون ZANO تولید کرد. این فعالیت برای نزدیک به یک ماه شناسایی نشد زیرا توکن‌های تولید شده از نظر فنی با توکن‌های قانونی یکسان بودند. سپس در تاریخ ۲۵ سپتامبر، مهاجم مجدداً این اکسپلویت (Exploit) را اجرا کرده و ۱۸.۴ میلیون ZANO دیگر و در نهایت ۱.۸ کوادریلیون fUSD ایجاد کرد.
مهاجم برای آماده‌سازی این حمله، ابتدا یک Gateway Address ثبت کرده و هزینه ثبت را پرداخت نمود و سپس با تست یک دارایی ساختگی، مسیر تولید توکن‌های غیرمجاز را هموار کرد.
پاسخ تیم Zano و چالش‌های بازیابی
به دلیل اینکه توکن‌های غیرمجاز از توکن‌های اصلی غیرقابل تشخیص بودند، تیم Zano تصمیم گرفت برای حذف این عرضه غیرقانونی، تاریخچه بلاکچین (Blockchain) را به مدت یک ماه به عقب بازگرداند (Rollback). این تصمیم منجر به حذف تراکنش‌های قانونی در این بازه زمانی شد که تیم Zano اذعان کرد این اقدام می‌تواند به اعتماد کاربران آسیب بزند، اما برای حفظ پایداری شبکه ضروری بود.
- شکست مکانیزم‌های دفاعی: تیم Zano اعلام کرد که تست‌های مبتنی بر هوش مصنوعی (AI)، حسابرسی‌های داخلی (Internal Audits) و برنامه‌های Bug Bounty نتوانستند این باگ را شناسایی کنند.
- جبران خسارات: برای بازگرداندن موجودی‌های آسیب‌دیده، تیم از صندوق توسعه، منابع شخصی اعضا و کمک‌های متعهد شده استفاده می‌کند.
- همکاری با صرافی‌ها: بازیابی موجودی‌ها عمدتاً از طریق صرافی‌ها و سرویس‌های پرداخت انجام می‌شود تا تراکنش‌های معکوس شده توسط Rollback مجدداً اعمال گردند.
