Zano mengungkapkan bahwa penyerang yang mengeksploitasi kerentanan Gateway Address selama sebulan terakhir menggunakannya untuk membuat 36,9 juta Zano (ZANO), beserta token Freedom Dollar (fUSD), sebelum keputusan diambil untuk memundurkan blockchain satu bulan.

Dalam laporan pasca-kasus yang diterbitkan pada Kamis, Zano mengatakan penyerang pertama kali mengeksploitasi kerentanan tersebut pada 29 Agustus, sehingga menghasilkan sekitar 18,4 juta ZANO dalam satu transaksi. Penyerang mengulangi eksploitasi itu pada 25 September, mencetak 18,4 juta ZANO lainnya, sebelum menggunakan metode yang sama untuk membuat fUSD. Tim mengatakan sebagian dana masuk ke ekosistem Zano.

“Koin-koin ini berfungsi sebagai ZANO yang asli dan dapat dibelanjakan secara normal,” tulis tim dalam post-mortemnya. Cointelegraph menghubungi Zano untuk meminta komentar.

Angka-angka tersebut menjelaskan mengapa tim Zano meminta rollback sekitar satu bulan riwayat blockchain, termasuk transaksi yang sah. Tim mengakui rollback akan merusak kepercayaan, tetapi berpendapat itu perlu untuk menghapus pasokan yang tidak berwenang karena tidak dapat dibedakan dari koin yang sah.

Penyerang membayar biaya masuk eksploit sebesar 100 ZANO 

Laporan post-mortem Zano menyebutkan penyerang membayar 100 ZANO untuk menyiapkan eksploit, senilai sekitar $553 pada saat publikasi.

Penyerang mendaftarkan Gateway Address pada 28 Agustus, membayar biaya pendaftaran, lalu menguji aset yang dibuat-buat sebelum mint tidak sah pertama pada hari berikutnya. 

Milyar ZANO mint pertama sebesar 18,4 juta tidak disadari selama hampir sebulan. Tim mengatakan koin yang tidak sah tersebut tampak seperti output biasa, dan tim internal baru menandai aktivitas itu setelah mint kedua.

Zano mengatakan pengujian berbantuan AI, audit internal, atau program bug bounty gagal menemukan celah tersebut. 

Sementara itu, Zano mengatakan pada hari Rabu bahwa pihaknya sedang bekerja untuk memulihkan saldo yang terdampak menggunakan dana pengembang, dana pribadi anggota tim, serta kontribusi yang telah disepakati. Pemulihan terutama akan dijalankan melalui bursa dan layanan pembayaran, dengan bursa untuk memutar ulang penarikan yang dibatalkan oleh rollback, dan tim memberikan kredit pada setoran yang terdampak. 

Majalah: Tiongkok memperingatkan mata-mata asing tentang kripto, Singapura mendominasi Asia: Asia Express