Zano draait maand aan transacties terug na exploit

Het netwerk is opnieuw gestart vanaf block 3.833.000, vlak voordat Hard Fork 6 werd ingevoerd. Dat verwijdert de ongeautoriseerde tokens uit de herstelde blockchain, maar heeft ook een pijnlijke keerzijde: legitieme transacties uit dezelfde periode verdwijnen eveneens.

Zano blockchain rollback begint bij block 3.833.000

Zano koos voor een ongebruikelijke maar ingrijpende maatregel. Het netwerk keerde terug naar het laatste punt voordat Hard Fork 6 actief werd.

Nodes, miners, stakers, exchanges en andere diensten die Zano ondersteunen, moeten de nieuwe software gebruiken om verder te gaan op de herstelde blockchain.

De ontwikkelaars kozen voor deze aanpak omdat de exploit de hoeveelheid ZANO en fUSD in omloop kon beïnvloeden. Zonder ingrijpen zouden ongeautoriseerde tokens onderdeel blijven van het netwerk.

Volgens Quinten van Welzen, hoofd marketing en groei bij Zano, zou dat de bestaande voorraad verwateren en een belangrijk uitgangspunt van de munt aantasten.

De keuze heeft echter een hoge prijs. Zano verwijdert met de rollback ongeveer een maand aan blockchainhistorie.

Wat ging er mis met Gateway Addresses?

De kwetsbaarheid zat volgens het team in Gateway Addresses, een functie die met Hard Fork 6 werd toegevoegd.

Gateway Addresses moesten het voor exchanges, bridges en betaaldiensten eenvoudiger maken om Zano te integreren. De functie laat deze partijen tegoeden beheren via één accountachtig saldo.

Normale Zano-wallets gebruiken een UTXO-model. Daarbij bestaat een saldo uit afzonderlijke stukjes ontvangen crypto, zogenaamde transaction outputs. Bitcoin werkt volgens een vergelijkbaar principe.

Een exchange moet bij zo’n systeem verschillende outputs volgen en bepalen welke daarvan nodig zijn om bijvoorbeeld een opname te verwerken. Gateway Addresses moesten dit proces eenvoudiger maken.

Juist deze nieuwe functionaliteit bleek een zwakke plek te bevatten. Zano heeft nog geen volledig technisch rapport over de exploit gepubliceerd. Daardoor zijn nog niet alle details over de aanval bekend.

Legitieme transacties verdwijnen ook

Een blockchain rollback maakt geen onderscheid tussen een normale betaling en een transactie die verband houdt met een exploit. Alles wat na het gekozen herstelpunt gebeurde, valt buiten de nieuwe versie van de blockchain.

Dat betekent dat ook gewone Zano-gebruikers gevolgen kunnen ondervinden. Transacties die zij in de afgelopen maand uitvoerden, staan mogelijk niet langer in de herstelde blockchain.

Extra ingewikkeld wordt het wanneer een betaling ondertussen op een andere blockchain is afgerond. Zano kan alleen zijn eigen blockchain terugdraaien. Een transactie die elders definitief is verwerkt, blijft daar bestaan.

Hierdoor kunnen verschillen ontstaan tussen tegoeden en transacties op verschillende netwerken.

Zano wil getroffen gebruikers compenseren

Het Zano-team zegt de financiële gevolgen van de rollback in kaart te brengen. Daarna moet er een procedure komen waarmee getroffen gebruikers compensatie kunnen aanvragen.

Hoe deze vergoeding precies werkt en welke transacties ervoor in aanmerking komen, is nog niet bekendgemaakt.

Voor gebruikers en exchanges wordt dit een belangrijk onderdeel van het herstel. De technische rollback haalt de ongeautoriseerde tokens uit de gekozen blockchainhistorie, maar lost mogelijke verliezen van individuele gebruikers niet automatisch op.

Van Welzen erkent dat de maatregel het vertrouwen in Zano raakt. Volgens hem was niets doen echter geen realistische optie, omdat de ongeautoriseerde ZANO en fUSD dan in omloop konden blijven.

Wat betekent een blockchain rollback?

Een blockchain rollback betekent dat een netwerk terugkeert naar een eerdere staat. Blocks en transacties die daarna kwamen, worden niet meegenomen in de blockchain waarop het netwerk verdergaat.

Dat ligt gevoelig. Een belangrijk uitgangspunt van openbare blockchains is namelijk dat bevestigde transacties uiteindelijk definitief worden. Gebruikers moeten erop kunnen vertrouwen dat een betaling niet weken later uit de blockchain verdwijnt.

Tegelijkertijd kan een ernstige exploit ontwikkelaars voor een moeilijke keuze stellen. Ze kunnen de bestaande blockchain behouden en de gevolgen van de aanval accepteren, of teruggaan naar een punt voordat het probleem ontstond.

Zano heeft voor de tweede optie gekozen.

Zano richt zich op privacy

Zano bestaat sinds mei 2019 en is een layer-1-blockchain voor privacygerichte betalingen. Een layer 1 is een zelfstandig blockchainnetwerk dat zijn eigen transacties verwerkt.

Bij privétransacties kan Zano informatie over de verzender, ontvanger, het bedrag en het type digitale asset afschermen.

ZANO is de eigen token van het netwerk. Daarnaast kunnen ontwikkelaars andere digitale assets op Zano uitgeven. Freedom Dollar, met ticker fUSD, is daar een voorbeeld van.

Conclusie

De Zano blockchain rollback lost een belangrijk onderdeel van de exploit op, maar creëert tegelijkertijd nieuwe problemen. Door terug te keren naar block 3.833.000 verdwijnen de ongeautoriseerde ZANO en fUSD uit de herstelde blockchain. Ook ongeveer een maand aan legitieme transacties gaat echter verloren.

Voor gebruikers draait de komende periode daarom vooral om twee zaken: het technische onderzoek naar de kwetsbaarheid en de aangekondigde compensatieregeling. Die moeten duidelijk maken wat er precies misging en hoe Zano eventuele verliezen van gebruikers gaat afhandelen.

Veelgestelde vragen

Waarom heeft Zano zijn blockchain teruggedraaid?

Zano ontdekte een kwetsbaarheid rond Gateway Addresses waardoor ongeautoriseerde ZANO en fUSD in omloop konden komen. Het netwerk keerde daarom terug naar block 3.833.000, voordat de betreffende functie werd ingevoerd.

Wat gebeurt er met transacties uit de verwijderde maand?

Deze transacties maken geen onderdeel meer uit van de herstelde blockchain. Dat geldt ook voor legitieme transacties. Zano werkt daarom aan een procedure voor compensatie van getroffen gebruikers.

Wat zijn Gateway Addresses?

Gateway Addresses zijn ontworpen om exchanges, bridges en betaaldiensten makkelijker met Zano te laten werken. Ze maken het mogelijk om tegoeden via een accountachtig saldo te beheren in plaats van afzonderlijke transaction outputs te volgen.