Zano a redémarré sa blockchain à partir du bloc 3,833,000 après qu’une vulnérabilité des Gateway Addresses a permis la mise en circulation non autorisée de tokens ZANO et Freedom Dollar, supprimant environ un mois d’historique du réseau.
L’équipe principale de Zano a indiqué dimanche que le bloc choisi se situe juste avant le Hard Fork 6, qui a activé la fonctionnalité Gateway Address en août. Cette restauration d’urgence exige que les mineurs, stakers, nœuds, exchanges, pools et autres services installent un logiciel mis à jour et suivent la chaîne restaurée.
Les transactions confirmées durant le mois concerné ne font plus partie de la blockchain restaurée. Il a été demandé aux utilisateurs de conserver les identifiants de transaction et les relevés de trading, tout en vérifiant le statut des transferts antérieurs avant d’envoyer à nouveau des paiements.
Le rollback ne peut pas annuler les transactions effectuées en dehors de Zano. Les actifs déjà réglés en USDT, DAI ou autres tokens sur des réseaux distincts restent hors de portée du redémarrage de la chaîne, selon le projet.
Le Hard Fork 6 a été déployé au bloc 3,833,000 le 26 août, apportant les Gateway Addresses et plusieurs autres modifications du protocole à Zano. Le projet avait consacré plus d’un an au développement de ce système d’adresses avant son déploiement.
Les Gateway Addresses ont été conçues pour les exchanges, bridges et prestataires de paiement qui trouvaient le modèle classique de sorties de transaction non dépensées de Zano difficile à intégrer. Contrairement aux portefeuilles Zano ordinaires, ces nouvelles adresses conservent un solde de type compte directement sur la blockchain.
Avant cette mise à niveau, les opérateurs de services devaient scanner les sorties, suivre les transactions entrantes et gérer quelles sorties avaient été dépensées lors des retraits. Les Gateway Addresses étaient destinées à fournir à ces opérateurs un solde unique tout en préservant les fonctions de confidentialité utilisées par les transactions Zano ordinaires.
L’enregistrement nécessitait des frais uniques de 100 ZANO, que le protocole brûlait de manière permanente. Les archives du forum Zano montraient qu’au moins deux Gateway Addresses avaient été enregistrées durant la première semaine de disponibilité de la fonctionnalité sur le mainnet.
L’équipe n’a pas encore publié le post-mortem technique promis expliquant précisément comment la vulnérabilité a généré des actifs non autorisés. Son avis de restauration indique que le problème a affecté l’émission d’actifs via les Gateway Addresses, y compris le ZANO natif et le fUSD.
Selon l’enquête du projet, la confidentialité des transactions ordinaires et les clés de dépense des portefeuilles n’ont pas été compromises. L’équipe a décrit le mécanisme de consensus sous-jacent de Zano comme non affecté et a indiqué que la version d’urgence supprime l’activité créée via la fonctionnalité vulnérable.
Une nouvelle version du logiciel Zano, la version 2.2.3.600, est apparue pendant le processus de restauration, selon le forum officiel du projet. Les opérateurs de nœuds, mineurs, stakers, pools et prestataires de services ont été invités à installer le logiciel d’urgence et à vérifier les sommes de contrôle publiées.
Les utilisateurs de portefeuilles ordinaires peuvent installer le portefeuille mis à jour sans saisir leur phrase seed. Zano a commencé à restaurer ses propres services individuellement, y compris le nœud de son portefeuille mobile et son service de wrapping.
Les plateformes tierces doivent se mettre à jour séparément. Zano a averti les utilisateurs de vérifier si un exchange, un portefeuille, un bridge ou un prestataire de paiement a migré avant d’envoyer des fonds via ces services.
MEXC a temporairement suspendu les dépôts et retraits pour ZANO et FUSD à la demande de l’équipe du projet. L’exchange n’avait pas annoncé de date de reprise au moment de la publication de l’avis.
La restauration dépend de l’acceptation du nouveau logiciel par les participants du réseau. Quinten van Welzen, responsable marketing et croissance de Zano, a rejeté les descriptions laissant entendre que l’équipe pouvait effacer unilatéralement l’historique de la blockchain.
« L’équipe ne peut pas rollback Zano », a déclaré van Welzen, expliquant que les développeurs peuvent publier un logiciel et demander aux opérateurs du réseau de l’adopter.
Il a reconnu que les grands pools de minage ont un poids substantiel dans la décision de savoir quelle chaîne reçoit le soutien, et a ajouté qu’une base plus large d’opérateurs indépendants renforcerait Zano.
La situation présente des parallèles avec d’autres tentatives récentes de restauration de blockchain. Dans une couverture connexe, crypto.news a rapporté que les validateurs de Cronos avaient restauré la chaîne à un état antérieur à l’exploit après l’incident Tectonic.
Un post-mortem ultérieur de Cronos a révélé que les validateurs avaient annulé environ 111,2 millions de dollars de valeur affectée, tandis que 9,19 millions de dollars restaient hors du périmètre de restauration après le déplacement des fonds hors du réseau.
Crypto.news a également rapporté séparément la proposition de rollback d’Harmony après que des ONE falsifiés sont entrés en circulation en août. La restauration proposée risquait d’écarter plus de 109,000 transactions ordinaires.
Le rollback d’un mois invalide des paiements légitimes effectués parallèlement à l’activité non autorisée sur les tokens, laissant les exchanges, entreprises et utilisateurs avec des enregistrements qui pourraient ne plus correspondre à la blockchain restaurée.
Zano a indiqué travailler avec les projets et contreparties affectés pour calculer les pertes. Un processus formel de remboursement et de réclamation n’a pas encore été publié.
Van Welzen a déclaré que le financement proviendrait du fonds de développement, des avoirs de l’équipe et de grands détenteurs qui ont engagé des ressources pour la restauration. Il a précisé que le plan de remboursement n’impliquerait pas la création de ZANO supplémentaires.
« Un mois de paiements entre personnes » rend le remboursement complexe, a-t-il déclaré, tout en reconnaissant que l’équipe n’avait pas encore finalisé tous les aspects du processus de réclamation.
Le projet avait initialement décrit un rollback beaucoup plus court alors que les enquêteurs déterminaient encore l’ampleur de la faille. Van Welzen a ensuite reconnu que les premières communications évoquant « 24 heures » et « aucun autre choix » avaient été publiées avant que l’équipe ne comprenne pleinement l’incident.
Le redémarrage à partir du bloc antérieur au Hard Fork 6 a finalement étendu la période concernée à environ un mois. L’équipe a indiqué que ce rollback plus profond supprime le ZANO et le fUSD non autorisés de la chaîne restaurée.
Zano prévoit de publier la cause technique de l’exploit, les conclusions d’un examen du code lié aux Gateway Addresses et les conditions qui devront être remplies avant le retour de la fonctionnalité. Aucune date n’a été annoncée pour la réactivation des Gateway Addresses.
Le ZANO s’échangeait autour de 6,32 dollars durant la restauration, en baisse d’environ 12,85 % sur 24 heures, selon CoinMarketCap. Sa capitalisation boursière déclarée s’élevait à environ 97,6 millions de dollars, tandis que le volume d’échange sur 24 heures atteignait approximativement 64,000 dollars.
Zano a été lancé en 2019 comme une blockchain de layer 1 axée sur la confidentialité, utilisant un système hybride de preuve de travail et de preuve d’enjeu. Ses transactions standard utilisent des outils de confidentialité qui masquent les informations sur l’expéditeur et le destinataire, les montants et les types d’actifs.
Le Hard Fork 6 avait été présenté comme un moyen de faciliter l’intégration du réseau par les exchanges et les services cross-chain. Avant l’exploit, Zano affirmait que les Gateway Addresses offriraient aux opérateurs de services des soldes lisibles directement, tout en laissant le fonctionnement normal des portefeuilles inchangé.
Le projet indique désormais que les Gateway Addresses resteront soumises à un audit du code avant leur retour. Son futur rapport technique devrait couvrir la cause de l’exploit, le code connexe des Gateway Addresses et les critères nécessaires avant que la fonctionnalité puisse reprendre en toute sécurité.
ZANO
FUSD