درجة ثقة المجتمعLikely Real
واجه مشروع عملة رقمية خاصة أحد أصعب الأشهر في الذاكرة الحديثة لعالم العملات المشفرة. أكدت زانو، وهي بلوكتشين تركز على المعاملات السرية، أن مهاجمًا استغل خللاً في نظام العنوان البوابة الخاص بها لصك 36.9 مليون رمز ZANO غير مصرح به — والحل الوحيد للفريق كان إعادة السلسلة بالكامل لمدة شهر تقريبًا.
هذا قرار جذري. إعادة بلوكتشين تعني محو المعاملات الشرعية للمستخدمين إلى جانب السيئة منها، وهو نوع من الخطوات التي يمكن أن تحطم الثقة بسرعة. لكن زانو تقول إنها لم يكن لديها خيار. كانت العملات غير المصرح بها، من الناحية العملية، لا يمكن تمييزها عن رموز ZANO الحقيقية. لا يمكنك إزالة العملات المزيفة بشكل جراحي عندما لا يستطيع الشبكة التفريق بينها وبين العملات الحقيقية.
كيف حدث الهجوم بالفعل
بدأ المهاجم بهدوء. في 28 أغسطس، سجل عنوان بوابة على الشبكة، ودفع الرسوم القياسية البالغة 100 ZANO — والتي كانت تساوي حوالي $553 في ذلك الوقت. لم تكن تكلفة كبيرة لما حدث بعد ذلك. أجرى اختبارًا صغيرًا أولاً، حيث صنع أصلًا للتحقق من أن الطريقة تعمل، ثم انتقل إلى الخطوة الكبيرة.
في 29 أغسطس، صك حوالي 18.4 مليون ZANO في معاملة واحدة. هكذا ببساطة. وصلت العملات إلى الشبكة واندمجت مع المخرجات الشرعية. لم يلاحظها أحد. فرق زانو الداخلية، التي تجري اختبارات بمساعدة الذكاء الاصطناعي وعمليات تدقيق داخلية، لم تكتشف أي شيء. برنامج مكافآت الأخطاء لم يكتشفها أيضًا. بقيت الثغرة غير مكتشفة تقريبًا لشهر كامل.
ثم في 25 سبتمبر، قام المهاجم بذلك مرة أخرى. 18.4 مليون ZANO أخرى، بنفس الطريقة. تلك الصك الثاني هو ما تم ملاحظته في النهاية. بحلول ذلك الوقت، كان المهاجم قد أنتج أيضًا حوالي 1.8 كوادريليون من رموز Freedom Dollar (fUSD) باستخدام نفس الثغرة. كوادريليون. هذا ليس خطأ مطبعيًا.
جعلت حالة fUSD الأمور أسوأ. يمكن لتلك الرموز أن تتداول في المعاملات أيضًا، مما يزيد من الفوضى. كان فريق زانو يواجه الآن شبكة تحتوي على نوعين مختلفين من العرض غير المصرح به — ZANO و fUSD — وكلاهما يبدو طبيعيًا تمامًا لأنظمة السلسلة الخاصة بها.
قرار إعادة النظام وخطة التعافي
قررت زانو إعادة البلوكتشين لمدة شهر. إنه قرار مؤلم في أي ظروف. يتم محو المعاملات الشرعية. المستخدمون الذين أجروا إيداعات أو سحوبات خلال تلك الفترة يجدون أنفسهم فجأة في حالة من عدم اليقين. الثقة تتعرض لضربة بغض النظر عن مدى ضرورة الخطوة.
وفقًا للمتحدث باسم زانو كوينتن فان ويلزن، فإن جزءًا صغيرًا فقط من ZANO غير المصرح به وصل فعليًا إلى السوق. قيود السيولة في منصات التداول حدت من مقدار ما يمكن للمهاجم أن ينقله فعليًا، مما أنقذ الوضع من أن يكون أسوأ بكثير مما كان عليه بالفعل.
يركز التعافي الآن على منصات التداول وخدمات الدفع. يعمل الفريق على إعادة تشغيل السحوبات التي تم عكسها بسبب الإعادة، ويتعاون مباشرة مع منصات التداول لإعادة الإيداعات المتأثرة للمستخدمين. إنها عملية بطيئة وتعاونية — النوع الذي لا يتصدر العناوين ولكنه مهم للغاية لأي شخص تأثرت أمواله.
لتغطية الأرصدة المتأثرة، تسحب زانو من صندوق المطورين، والأموال الشخصية لأعضاء الفريق، والمساهمات الخارجية. لم يتم تقديم رقم محدد بالدولار لمجموع تلك الأموال، لذا لا يزال من غير الواضح ما إذا كان يكفي لتغطية كل شيء بشكل نظيف.
إخفاقات أمنية وما هو التالي
لم تحاول زانو تزييف الأمر. اعترف الفريق مباشرة بأن الاختبارات بمساعدة الذكاء الاصطناعي، وعمليات التدقيق الداخلية، وبرامج مكافآت الأخطاء فشلت جميعها في اكتشاف الثغرة قبل استغلالها مرتين. إنها قائمة دامغة من التدابير الوقائية الفاشلة. كما أنها ليست مفاجئة تمامًا — السلاسل التي تركز على الخصوصية لديها هياكل معاملات معقدة تقريبًا بشكل طبيعي، ويمكن أن تخلق تلك التعقيدات نقاط عمياء لا تصل إليها أطر الاختبار القياسية.
لم يتم اكتشاف الصك الأول في 29 أغسطس لمدة 27 يومًا. هذا وقت طويل لـ 18.4 مليون عملة غير مصرح بها لتبقى بهدوء على الشبكة قبل أن يلاحظها أحد. لم يتم الاكتشاف إلا بعد الحادثة الثانية، مما يعني أن المهاجم ربما كان يمكنه الاستمرار إذا كان أكثر صبرًا.
تقول زانو إنها تراجع الآن عمليات التدقيق وبروتوكولات الاختبار الخاصة بها. يريد الفريق العثور على الثغرات المحتملة قبل أن يتم استغلالها بدلاً من بعد ذلك. لم يتم تقديم تفاصيل محددة حول ما تبدو عليه تلك التدابير الجديدة — غير واضح ما إذا كان ذلك يعني عمليات تدقيق من طرف ثالث، أو مراجعات رسمية للكود، أو شيء آخر تمامًا.
بالنسبة للمستخدمين، الأولوية الفورية هي استعادة الأموال. تعيد منصات التداول تشغيل السحوبات المعكوسة. يتم إعادة الإيداعات. تظل الرسوم البالغة 100 ZANO التي دفعها المهاجم في 28 أغسطس — حوالي $553 — واحدة من التكاليف القليلة الملموسة التي تحملها قبل أن يبتعد بعملية استغلال على مستوى الشبكة أجبرت على إعادة السلسلة لمدة شهر.
الأسئلة الشائعة
كم عدد الرموز غير المصرح بها التي أنشأها مهاجم زانو؟
صك المهاجم 36.9 مليون رمز ZANO غير مصرح به عبر معاملتين، بالإضافة إلى حوالي 1.8 كوادريليون رمز fUSD باستخدام نفس ثغرة العنوان البوابة.
كيف تستعيد زانو أرصدة المستخدمين بعد الإعادة؟
تستخدم زانو صندوق المطورين، والأموال الشخصية لأعضاء الفريق، والمساهمات الخارجية لاستعادة الأرصدة المتأثرة، مع إعادة منصات التداول تشغيل السحوبات المعكوسة وإعادة الإيداعات للمستخدمين.
