Zano a r\u00e9cemment r\u00e9v\u00e9l\u00e9 un bug<\/strong> qui a conduit \u00e0 un retour en arri\u00e8re exceptionnel de 30 jours<\/strong> de sa blockchain, dans un post-mortem d\u00e9taill\u00e9. Un attaquant a exploit\u00e9 une v\u00e9rification manquante<\/strong> dans les adresses Gateway pour frapper environ 18,4 millions de ZANO<\/strong> en une seule transaction, puis a r\u00e9p\u00e9t\u00e9 l’astuce avec le stablecoin fUSD<\/strong>.<\/p>\n La premi\u00e8re exploitation est rest\u00e9e inaper\u00e7ue pendant pr\u00e8s d’un mois, tandis que la machinerie de confidentialit\u00e9 de Zano compliquait la distinction entre les faux jetons<\/em> et les l\u00e9gitimes<\/em>. Le retour en arri\u00e8re de 30 jours de la blockchain de Zano semblait d\u00e9j\u00e0 drastique, mais l’\u00e9quipe a expliqu\u00e9 les m\u00e9canismes sous-jacents, qui sont sans doute plus d\u00e9routants.<\/p>\n \u00ab\u00a0En r\u00e9sum\u00e9, chaque transaction Zano doit prouver que les jetons ont \u00e9t\u00e9 cr\u00e9\u00e9s selon les r\u00e8gles de consensus,\u00a0\u00bb a expliqu\u00e9 l’\u00e9quipe.<\/p>\n<\/blockquote>\n Un d\u00e9faut introduit avec le Hard Fork 6<\/strong> a permis \u00e0 un attaquant de cr\u00e9er des jetons que le r\u00e9seau acceptait comme authentiques, \u00e0 partir du 29 ao\u00fbt. Selon l’\u00e9quipe de d\u00e9veloppement, la premi\u00e8re v\u00e9ritable exploitation a g\u00e9n\u00e9r\u00e9 2^64 unit\u00e9s de base<\/strong>, soit environ 18,4 millions de ZANO<\/strong>, en une seule transaction. Personne ne l’a remarqu\u00e9e pendant pr\u00e8s d’un mois.<\/p>\n Les probl\u00e8mes ont commenc\u00e9 avec les adresses Gateway<\/strong>, un nouveau type d’adresse introduit dans le Hard Fork 6 pour faciliter l’int\u00e9gration de Zano avec des plateformes d’\u00e9change centralis\u00e9es (CEX), des ponts et d’autres services. Les sorties Gateway exposent un montant et un ID d’actif, contrairement aux sorties confidentielles standard de Zano, o\u00f9 ces informations sont cach\u00e9es. Cependant, l’impl\u00e9mentation manquait d’une v\u00e9rification cruciale<\/strong>.<\/p>\n \u00ab\u00a0Ces jetons fonctionnaient comme des ZANO authentiques et pouvaient \u00eatre d\u00e9pens\u00e9s normalement,\u00a0\u00bb a pr\u00e9cis\u00e9 l’\u00e9quipe.<\/p>\n<\/blockquote>\n L’attaquant a enregistr\u00e9 une adresse Gateway le 28 ao\u00fbt, en payant les 100 ZANO<\/strong> requis, et a apparemment test\u00e9 si Zano accepterait un actif inexistant construit. Le lendemain, les choses s\u00e9rieuses ont commenc\u00e9. Une transaction a g\u00e9n\u00e9r\u00e9 environ 18,4 millions de ZANO<\/strong>, actuellement \u00e9valu\u00e9s \u00e0 environ 102 millions de dollars<\/strong>.<\/p>\n Pr\u00e8s d’un mois plus tard, le 24 septembre, l’attaquant a effectu\u00e9 deux d\u00e9p\u00f4ts l\u00e9gitimes de seulement 0,05 ZANO<\/strong> chacun, apparemment pour tester la voie de d\u00e9p\u00f4t ordinaire. Le 25 septembre, un autre 18,4 millions de ZANO<\/strong> a \u00e9t\u00e9 cr\u00e9\u00e9, suivi de la m\u00eame man\u0153uvre de 2^64 unit\u00e9s de base<\/strong> utilisant le stablecoin fUSD. Au total, cela repr\u00e9sente plus de 200 millions de dollars<\/strong> en jetons crypto illicites.<\/p>\n Zano avait men\u00e9 des tests assist\u00e9s par intelligence artificielle (IA)<\/strong>, des audits d’\u00e9quipe et des programmes de r\u00e9compense de bugs avant le Hard Fork 6. Aucun de ces tests n’a d\u00e9tect\u00e9 la vuln\u00e9rabilit\u00e9. \u00ab\u00a0La premi\u00e8re exploitation est pass\u00e9e inaper\u00e7ue pendant pr\u00e8s d’un mois car la sortie accrue ressemblait \u00e0 n’importe quelle autre sortie priv\u00e9e,\u00a0\u00bb a d\u00e9clar\u00e9 l’\u00e9quipe.<\/p>\n Une fois que les faux jetons sont entr\u00e9s dans le syst\u00e8me de transaction confidentiel de Zano, identifier exactement o\u00f9 ils sont all\u00e9s est devenu une autre proposition. Les signatures en anneau m\u00e9langent les d\u00e9penses avec d’autres sorties, provoquant une incertitude qui se propage chaque fois que des jetons se d\u00e9placent.<\/p>\n Zano a scann\u00e9 chaque sortie potentiellement li\u00e9e aux trois transactions de frappe. Au bloc 3,878,388<\/strong>, la piste a touch\u00e9 117,941 sorties<\/strong> cr\u00e9\u00e9es par 65,301 transactions<\/strong>. Environ 165,700 sorties<\/strong> avaient ensuite \u00e9t\u00e9 cr\u00e9\u00e9es \u00e0 partir de la premi\u00e8re frappe, repr\u00e9sentant environ 71 % de l’activit\u00e9 du r\u00e9seau<\/strong> pendant cette p\u00e9riode.<\/p>\n Zano a d\u00e9clar\u00e9 que les soldes affect\u00e9s seront r\u00e9cup\u00e9r\u00e9s int\u00e9gralement sans changer l’offre ou le calendrier d’\u00e9mission de ZANO. Le financement proviendra du fonds de d\u00e9veloppement<\/strong>, de l’argent personnel des membres de l’\u00e9quipe et de contributeurs ext\u00e9rieurs. Les \u00e9changes doivent maintenant passer au crible un mois d’activit\u00e9, transaction par transaction, avant de rouvrir l’acc\u00e8s.<\/p>\n \u00ab\u00a0Aucune action n’est n\u00e9cessaire pour le moment,\u00a0\u00bb a d\u00e9clar\u00e9 l’\u00e9quipe aux utilisateurs sur ses canaux de m\u00e9dias sociaux.<\/p>\n<\/blockquote>\n L’\u00e9quipe Zano a annonc\u00e9 mardi qu’un correctif<\/strong> a \u00e9t\u00e9 appliqu\u00e9 et que le r\u00e9seau est d\u00e9sormais stable.<\/p>\n","protected":false},"excerpt":{"rendered":" Retour en arri\u00e8re de la blockchain de Zano Zano a r\u00e9cemment r\u00e9v\u00e9l\u00e9 un bug qui a conduit \u00e0 un retour en arri\u00e8re exceptionnel de 30 jours de sa blockchain, dans un post-mortem d\u00e9taill\u00e9. Un attaquant a exploit\u00e9 une v\u00e9rification manquante dans les adresses Gateway pour frapper environ 18,4 millions de ZANO en une seule transaction, puis a r\u00e9p\u00e9t\u00e9 l’astuce avec le stablecoin fUSD. Exploitation et cons\u00e9quences La premi\u00e8re exploitation est rest\u00e9e inaper\u00e7ue pendant pr\u00e8s d’un mois, tandis que la machinerie de confidentialit\u00e9 de Zano compliquait la distinction entre les faux jetons et les l\u00e9gitimes. Le retour en arri\u00e8re de 30<\/p>\n","protected":false},"author":3,"featured_media":19025,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[64],"tags":[4046,65,46,5891],"class_list":["post-19026","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hack","tag-fusd","tag-hack","tag-usa","tag-zano"],"yoast_description":"Zano r\u00e9v\u00e8le qu'un bug a permis \u00e0 un attaquant de frapper 200 millions de dollars en faux jetons, d\u00e9clenchant un retour en arri\u00e8re de 30 jours de la blockchain pour restaurer l'int\u00e9grit\u00e9.","_links":{"self":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts\/19026","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/comments?post=19026"}],"version-history":[{"count":0,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts\/19026\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/media\/19025"}],"wp:attachment":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/media?parent=19026"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/categories?post=19026"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/tags?post=19026"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Exploitation et cons\u00e9quences<\/h2>\n
\n
Les adresses Gateway et la vuln\u00e9rabilit\u00e9<\/h2>\n
\n
Impact et mesures prises<\/h2>\n
Conclusion et r\u00e9tablissement<\/h2>\n
\n