استغلال ثغرة في Zano يؤدي إلى سك 36.9 مليون ZANO غير مصرح بها

أهم النقاط

• استغلال الثغرة أتاح إنشاء 36.9 مليون ZANO غير مصرح بها، إضافة إلى رموز fUSD.
• وقع إصداران بنحو 18.4 مليون ZANO لكل منهما في 29 أغسطس و25 سبتمبر.
• تعذر تمييز العملات غير المصرح بها عن العملات الأصلية، ما أدى إلى قرار بالتراجع بنحو شهر في سجل البلوكشين.
• تعمل Zano على استعادة الأرصدة المتضررة، بينما يظل حجمها والجدول الزمني للاستعادة غير محددين.

كشفت شبكة Zano أن استغلال ثغرة أمنية في Gateway Address أتاح إنشاء 36.9 مليون من عملة ZANO بشكل غير مصرح به، إلى جانب رموز Freedom Dollar (fUSD). وقال الفريق إن عدم إمكانية تمييز هذه العملات عن ZANO الأصلية دفعه إلى اتخاذ قرار بالتراجع بنحو شهر في سجل البلوكشين.

وبحسب تقرير ما بعد الحادثة الذي نشرته Zano، وقع الإصدار الأول في 29 أغسطس وشمل نحو 18.4 مليون ZANO في معاملة واحدة. وتكرر استغلال الثغرة في 25 سبتمبر لإصدار كمية مماثلة، قبل استخدام الطريقة نفسها لإنشاء رموز fUSD. وأضافت الشبكة أن جزءاً من العملات دخل إلى نظامها البيئي، وأن الإصدار الأول بقي دون اكتشاف قرابة شهر.

وقال الفريق إن العملات غير المصرح بها كانت تعمل كعملات ZANO أصلية ويمكن إنفاقها بصورة عادية، ما جعل إزالتها منفردة غير ممكنة. ويشمل التراجع معاملات شرعية أيضاً؛ وهو أثر أقرت Zano بأنه قد يضر بالثقة، لكنها قالت إنه ضروري لإزالة المعروض غير المصرح به.

وسجل المهاجم عنوان Gateway Address في 28 أغسطس ودفع 100 ZANO لإعداد الاستغلال، بما يعادل نحو 553 دولاراً وقت النشر، ثم اختبر أصلاً مصطنعاً قبل الإصدار الأول. وقالت Zano إن الاختبارات المدعومة بالذكاء الاصطناعي وعمليات التدقيق الداخلية وبرامج مكافآت اكتشاف الثغرات لم ترصد المشكلة.

وتعمل Zano على استعادة الأرصدة المتضررة عبر صندوق المطورين وأموال أعضاء الفريق ومساهمات ملتزم بها. ووفقاً للشبكة، ستتم العملية أساساً عبر منصات التداول وخدمات الدفع، بما يشمل إعادة تنفيذ عمليات السحب التي عكسها التراجع وتقييد الإيداعات المتأثرة. ولم يحدد التقرير حجم الأرصدة المتضررة أو جدولاً زمنياً مكتملاً للاستعادة.