Zano ha rivelato il bug<\/strong> che ha costretto il suo straordinario rewind della blockchain<\/strong> di 30 giorni in un recente postmortem. Un attaccante ha sfruttato una mancanza di verifica negli Indirizzi Gateway<\/strong> per coniare circa 18,4 milioni di ZANO<\/strong> in una singola transazione, ripetendo poi il trucco con la stablecoin fUSD<\/strong>.<\/p>\n Il primo exploit \u00e8 rimasto inosservato per quasi un mese, mentre il sistema di privacy di Zano ha reso le monete false sempre pi\u00f9 difficili da distinguere da quelle legittime. Il rewind della blockchain di 30 giorni di Zano sembrava gi\u00e0 drastico. Ora il team ha spiegato cosa si nascondeva dietro a questa decisione, e i meccanismi coinvolti sono senza dubbio complessi.<\/p>\n Un difetto introdotto con l’Hard Fork 6<\/strong> ha permesso a un attaccante di creare monete che la rete accettava come genuine, a partire dal 29 agosto<\/strong>. Secondo il team di sviluppo, il primo vero exploit ha coniato 2^64 unit\u00e0 base<\/strong>, circa 18,4 milioni di ZANO<\/strong>, in una singola transazione. Nessuno se ne \u00e8 accorto per quasi un mese.<\/p>\n Quando gli strumenti interni di Zano hanno suonato l’allerta il 25 settembre<\/strong>, l’offerta contraffatta si era gi\u00e0 intrecciata all’interno di un sistema di privacy progettato per rendere difficile il tracciamento delle transazioni. I problemi sono iniziati con gli Indirizzi Gateway<\/strong>, un nuovo tipo di indirizzo introdotto nell’Hard Fork 6 per facilitare l’integrazione di Zano con piattaforme di scambio centralizzate (CEX), ponti e altri servizi.<\/p>\n Le uscite Gateway espongono un importo e un ID asset, a differenza delle uscite riservate standard di Zano, dove entrambi sono nascosti. Tuttavia, l’implementazione mancava di una verifica critica. Zano ha rivelato che un attaccante poteva costruire un identificatore di asset calcolato in modo speciale che soddisfaceva comunque le prove di transazione della rete, mentre inseriva un importo arbitrario in un’uscita nascosta.<\/p>\n “In breve, ogni transazione Zano deve dimostrare che le monete sono state create secondo le regole di consenso,” ha spiegato il team. “A causa di una verifica mancante, un attaccante poteva soddisfare questa prova mentre ‘nascondeva’ monete extra all’interno della transazione.”<\/p>\n<\/blockquote>\n Queste monete non erano semplici voci contabili decorative. Il team ha affermato: “Queste monete funzionavano come ZANO autentici e potevano essere spese normalmente.”<\/strong><\/p>\n L’attaccante ha registrato un Indirizzo Gateway il 28 agosto<\/strong>, pagando la tassa richiesta di 100 ZANO<\/strong>, e apparentemente ha testato se Zano avrebbe accettato un asset inesistente. Il giorno successivo, i guanti sono stati tolti. Una transazione ha coniato circa 18,4 milioni di ZANO<\/strong>, attualmente valutati intorno ai 102 milioni di dollari<\/strong>.<\/p>\n Quasi un mese dopo, il 24 settembre<\/strong>, l’attaccante ha effettuato due depositi legittimi di solo 0,05 ZANO<\/strong> ciascuno, apparentemente testando il normale percorso di deposito. Il 25 settembre<\/strong>, sono stati creati altri 18,4 milioni di ZANO<\/strong>, seguiti dalla stessa manovra di 2^64 unit\u00e0 base<\/strong> utilizzando la stablecoin fUSD<\/strong>. In totale, si tratta di oltre 200 milioni di dollari<\/strong> in token crypto illeciti.<\/p>\n Ecco il colpo di scena: Zano aveva condotto test assistiti da intelligenza artificiale (AI)<\/strong>, audit del team e programmi di bug bounty prima dell’Hard Fork 6. Nessuno ha rilevato la vulnerabilit\u00e0. <\/p>\n “Il primo exploit \u00e8 rimasto non rilevato per quasi un mese perch\u00e9 l’output aumentato appariva come qualsiasi altro output privato,” ha detto il team.<\/p>\n<\/blockquote>\n Una volta che le monete false sono entrate nel sistema di transazione riservato di Zano, identificare esattamente dove sono andate \u00e8 diventata una proposta complessa. Le firme anulari mescolano le spese con altri output, causando incertezze ogni volta che le monete si muovono.<\/p>\n Zano ha esaminato ogni output potenzialmente collegato alle tre transazioni di conio. Al blocco 3.878.388<\/strong>, la traccia ha toccato 117.941 output<\/strong> creati attraverso 65.301 transazioni<\/strong>. Circa 165.700 output<\/strong> erano stati successivamente creati dal primo conio, rappresentando circa il 71%<\/strong> dell’attivit\u00e0 di rete durante il periodo.<\/p>\n “Questo \u00e8 privacy che funziona come previsto,” ha detto Zano. “Nessuno, incluso il team di Zano, pu\u00f2 determinare con precisione quali output sono stati colpiti.”<\/p>\n<\/blockquote>\n Questo ha lasciato il progetto in un vicolo cieco. Le stesse propriet\u00e0 di privacy che gli utenti si aspettavano da Zano hanno impedito agli sviluppatori di separare chirurgicamente le monete legittime da quelle non autorizzate.<\/p>\n “L’unico modo per verificare l’integrit\u00e0 dell’offerta \u00e8 continuare la catena da un punto precedente al primo exploit,” ha dettagliato il team. Quel punto era il blocco 3.833.000<\/strong>, prima dell’Hard Fork 6. L’Hard Fork 7 ha riavviato la catena da l\u00ec e ha disabilitato gli Indirizzi Gateway, il che significa che le transazioni, i premi di staking e i blocchi estratti dal periodo colpito non esistono pi\u00f9 nel libro mastro aggiornato.<\/p>\n Zano ha ulteriormente dichiarato che i saldi colpiti saranno recuperati completamente senza modificare l’offerta o il programma di emissione di ZANO. Il finanziamento verr\u00e0 dal fondo di sviluppo, dai soldi personali dei membri del team e da contributori esterni.<\/p>\n Gli scambi devono ora esaminare un mese di attivit\u00e0, transazione per transazione, prima di riaprire l’accesso. <\/p>\n “Nessuna azione \u00e8 necessaria in questo momento,” ha detto il team agli utenti sui suoi canali social.<\/p>\n<\/blockquote>\n Il team di Zano ha annunciato marted\u00ec che \u00e8 stata applicata una correzione urgente<\/strong> e che la rete \u00e8 stabile.<\/p>\n","protected":false},"excerpt":{"rendered":" Il Bug di Zano e il Rewind della Blockchain Zano ha rivelato il bug che ha costretto il suo straordinario rewind della blockchain di 30 giorni in un recente postmortem. Un attaccante ha sfruttato una mancanza di verifica negli Indirizzi Gateway per coniare circa 18,4 milioni di ZANO in una singola transazione, ripetendo poi il trucco con la stablecoin fUSD. Dettagli dell’Attacco Il primo exploit \u00e8 rimasto inosservato per quasi un mese, mentre il sistema di privacy di Zano ha reso le monete false sempre pi\u00f9 difficili da distinguere da quelle legittime. Il rewind della blockchain di 30 giorni di<\/p>\n","protected":false},"author":3,"featured_media":19026,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[64],"tags":[4046,65,46,5891],"class_list":["post-19027","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hack","tag-fusd","tag-hack","tag-usa","tag-zano"],"yoast_description":"Zano rivela che un bug ha permesso a un attaccante di coniare oltre 200 milioni di dollari in token falsi, innescando un raro rewind della blockchain di 30 giorni per ripristinare l'integrit\u00e0.","_links":{"self":[{"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/posts\/19027","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/comments?post=19027"}],"version-history":[{"count":0,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/posts\/19027\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/media\/19026"}],"wp:attachment":[{"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/media?parent=19027"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/categories?post=19027"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/satoshibrother.com\/it\/wp-json\/wp\/v2\/tags?post=19027"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Dettagli dell’Attacco<\/h2>\n
Meccanismi di Verifica e Privacy<\/h2>\n
\n
Il Processo di Attacco<\/h2>\n
Le Conseguenze e le Soluzioni<\/h2>\n
\n
\n
Conclusioni e Prossimi Passi<\/h2>\n
\n