Zano откатила блокчейн на месяц из-за уязвимости с эмиссией монет

Команда блокчейна Zano, ориентированного на конфиденциальные транзакции, откатила сеть примерно на месяц — до высоты блока 3 833 000, непосредственно перед активацией хардфорка №6. Об этом Zano заявила 28 сентября. Причина — уязвимость в адресах шлюзов, которая позволила выпустить неавторизованные ZANO и стейблкоин fUSD, то есть монеты, которых в сети быть не должно.

Все транзакции, подтверждённые за этот месяц, в восстановленную цепочку не войдут. Для восстановления участвующие узлы, майнеры, стейкеры и сервисы должны установить обновление. Zano подчёркивает, что работает с затронутыми контрагентами для учёта убытков и что откат не может повлиять на платежи, осуществлённые в других сетях. Взлома ключей расходования кошельков и нарушения конфиденциальности обычных транзакций команда не обнаружила, основной протокол консенсуса Zano остался незатронутым.

Что такое адреса шлюзов и когда они появились

Адреса шлюзов были добавлены хардфорком №6 в блоке 3 833 000 26 августа, после более года разработки. Они упрощают работу с Zano для бирж, мостов и децентрализованных бирж (DEX): вместо того чтобы работать исключительно с приватной системой UTXO, сервис может отслеживать баланс адреса шлюза напрямую.

Именно с этими адресами Zano теперь связывает баг, вызывающий инфляцию. Как он сработал, публично не раскрыто. Сторонние наблюдатели указывают на код транзакций между шлюзом и конфиденциальными выходами, но связь с недавними изменениями в коде остаётся предметом предположений — сама команда уязвимую функцию не назвала.

Откат затрагивает и легитимные транзакции

Из канонической цепочки исчезнут около месяца принятых транзакций: майнеры, стейкеры и узлы примут исправленную версию истории. Проблема в том, что вместе с ошибочными исчезнут и легитимные переводы за этот период — убытки ложатся на всех, кто пользовался цепочкой Zano в последний месяц. Разработчики пообещали запустить процедуру компенсаций пострадавшим, но её условия не назвали.

Под удар попал и проект Freedom Dollar: его команда признала, что активы на несколько миллионов долларов, находившиеся в распоряжении проекта, были обменены на поддельные fUSD. Убытки Freedom Dollar обещает покрыть за счёт собственных средств и рекомендует держателям fUSD приостановить любую экономическую деятельность с токенами до подтверждения стабильности исправленной цепочки. Отдельно команда пообещала назвать условия возобновления услуг fUSD и план полного возвращения экономической активности.

Цена ZANO после распространения новости упала примерно на 20%. На момент публикации монета торговалась по 6,05 доллара. Курс актива и динамику рынка в целом можно смотреть в скринере.

Команда не опубликовала ни сумму несанкционированно созданных активов, ни процедуру возмещения. В сети, построенной вокруг конфиденциальности, определить, кто именно и сколько потерял за удалённый период, может оказаться отдельной сложной задачей.

Пока Zano ограничилась мерами по устранению сбоя — официального заключения о причинах нет. Что произошло дальше, команда обещает раскрывать по мере появления новых данных.