Zano draait blockchain terug na grote aanval

De aanval bleef wekenlang onder de radar. Pas nadat de aanvaller de kwetsbaarheid opnieuw gebruikte, ontdekte het team wat er aan de hand was. De gevolgen raken niet alleen Zano zelf, maar ook gebruikers die in de teruggedraaide periode gewone transacties uitvoerden.

Zano-exploit begon eind augustus

De kwetsbaarheid zat in het systeem rond Gateway Addresses. Een Gateway Address maakt het mogelijk om externe activa binnen het Zano-ecosysteem te gebruiken.

De aanvaller registreerde op 28 augustus zo’n adres en betaalde daarvoor 100 ZANO. Vervolgens testte de aanvaller de kwetsbaarheid met een zelfgemaakt digitaal activum.

Een dag later volgde de eerste grote aanval. In één transactie ontstond ongeveer 18,4 miljoen ZANO buiten de normale uitgifteregels van het netwerk.

Deze transactie bleef bijna een maand onopgemerkt. Op 25 september gebruikte de aanvaller dezelfde methode opnieuw en creëerde nog eens ongeveer 18,4 miljoen ZANO. Daarna volgde ook de creatie van ongeveer 1,8 biljard Freedom Dollar-tokens, beter bekend als fUSD.

In totaal ontstond zo ongeveer 36,9 miljoen ZANO zonder dat het protocol daar toestemming voor had gegeven.

Waarom waren de nieuwe ZANO zo’n groot probleem?

Bij sommige crypto-aanvallen kunnen ontwikkelaars de gestolen of ongeautoriseerde tokens identificeren aan de hand van specifieke adressen of transacties. Bij Zano lag dat anders.

De nieuw gecreëerde ZANO functioneerden precies zoals gewone munten. Gebruikers konden ze versturen, ontvangen en uitgeven. Voor het netwerk bestond technisch geen duidelijk verschil tussen deze munten en ZANO die op een legitieme manier waren verkregen.

Slechts een klein deel van de ongeautoriseerde voorraad kwam volgens Zano daadwerkelijk op de markt. De beperkte liquiditeit op exchanges maakte het moeilijk om grote hoeveelheden te verkopen.

Toch vormde de extra voorraad een serieus probleem. Als miljoenen ongeautoriseerde munten in omloop blijven, kan dat de schaarste van een cryptocurrency aantasten en daarmee bestaande bezitters benadelen.

Blockchain rollback moet ongeautoriseerde munten verwijderen

Zano besloot uiteindelijk de blockchain terug te brengen naar block 3.833.000, een moment voordat de kwetsbaarheid werd misbruikt.

Zo’n ingreep heet een blockchain rollback. Hierbij keert een netwerk terug naar een eerdere versie van zijn transactiegeschiedenis. Alles wat daarna gebeurde, moet opnieuw worden verwerkt of hersteld.

Voor Zano bood dit een manier om de ongeautoriseerde munten uit de blockchain te halen. Tegelijkertijd heeft een rollback een belangrijk nadeel. Ook legitieme transacties uit dezelfde periode verdwijnen.

Het team erkende dat deze aanpak het vertrouwen in het netwerk kan schaden. Volgens Zano bestond er echter geen eenvoudige manier om alleen de ongeautoriseerde ZANO te verwijderen, omdat deze technisch hetzelfde functioneerden als alle andere munten.

Eerste aanval bleef bijna een maand onopgemerkt

Opvallend is dat de eerste creatie van 18,4 miljoen ZANO niet direct werd ontdekt. Pas nadat de aanvaller in september opnieuw miljoenen munten creëerde, merkten interne teams de verdachte activiteit op.

Zano stelt dat verschillende beveiligingsmaatregelen de kwetsbaarheid vooraf niet vonden. Het project gebruikte interne audits, een bug bounty-programma en tests met ondersteuning van AI.

Een bug bounty is een programma waarbij beveiligingsonderzoekers een beloning krijgen wanneer ze kwetsbaarheden ontdekken en verantwoord melden. In dit geval kwam de fout ondanks deze controles pas aan het licht nadat iemand er daadwerkelijk misbruik van maakte.

Zano werkt aan herstel voor gebruikers

De rollback heeft ook gevolgen voor gebruikers die niets met de aanval te maken hadden. Stortingen, opnames en andere transacties uit de teruggedraaide periode kunnen daardoor verdwijnen uit de nieuwe transactiegeschiedenis.

Zano probeert getroffen tegoeden te herstellen met middelen uit het ontwikkelaarsfonds, persoonlijke bijdragen van teamleden en andere toegezegde financiering.

Een groot deel van dat proces loopt via exchanges en betaaldiensten. Exchanges kunnen bijvoorbeeld opnames die door de rollback verdwenen opnieuw verwerken. Voor getroffen stortingen wil Zano waar nodig bedragen aanvullen.

Het herstelproces wordt daarmee een belangrijke test voor het project. Niet alleen de technische kwetsbaarheid moet worden opgelost, ook gebruikers moeten duidelijkheid krijgen over transacties en tegoeden die door de rollback zijn geraakt.

Conclusie

De Zano-exploit laat zien hoe ingrijpend een fout in de uitgifte van cryptomunten kan worden. Een aanvaller wist 36,9 miljoen ZANO en ongeveer 1,8 biljard fUSD te creëren, terwijl de eerste aanval wekenlang onopgemerkt bleef.

Omdat de ongeautoriseerde ZANO technisch niet van normale munten te onderscheiden waren, koos Zano voor een rollback van ongeveer een maand. Daarmee verdwijnt de ongewenste voorraad, maar worden ook legitieme transacties geraakt.

De komende periode zal vooral draaien om het herstellen van gebruikerssaldo’s en het vertrouwen in het netwerk.

Veelgestelde vragen over de Zano-exploit

Hoeveel ZANO heeft de aanvaller gecreëerd?

De aanvaller creëerde in totaal ongeveer 36,9 miljoen ZANO. Dit gebeurde voornamelijk via twee transacties van ieder ongeveer 18,4 miljoen ZANO.

Waarom draaide Zano de blockchain terug?

De ongeautoriseerde ZANO waren technisch niet te onderscheiden van legitieme munten. Zano kon ze daardoor niet afzonderlijk verwijderen en koos ervoor de blockchain terug te draaien naar een moment vóór de aanval.

Wat betekent de rollback voor Zano-gebruikers?

Ook normale transacties uit de teruggedraaide periode kunnen zijn verdwenen. Zano werkt daarom samen met exchanges en betaaldiensten aan het herstellen van getroffen stortingen, opnames en saldo’s.