Zano diz que invasor explorou falha no Gateway Address e cunhou tokens que se misturaram às moedas legítimas. A equipe reverteu cerca de um mês do histórico para remover a oferta; Quinten van Welzen comentou a ação.

Atualização (2 de outubro, às 6h53 UTC): o texto foi atualizado para incluir comentário de Quinten van Welzen, chefe de marketing e crescimento da Zano.

A Zano revelou que um invasor explorou uma vulnerabilidade no Gateway Address e conseguiu cunhar grandes quantidades de tokens antes de a equipe optar por reverter cerca de um mês do histórico da blockchain. O incidente expôs fragilidades no controle de criação de ativos e levou a uma decisão drástica: apagar um período de transações para remover oferta não autorizada que era indistinguível das moedas legítimas.

“Essas moedas funcionavam como ZANO autênticas e podiam ser gastas normalmente”.

Segundo a análise pós-incidente divulgada pela equipe, a exploração ocorreu em ondas: o invasor registrou um Gateway Address em 28 de agosto, pagou a taxa de registro e, no dia seguinte, 29 de agosto, testou um ativo fabricado antes de executar a primeira cunhagem não autorizada. Nesta primeira ação o invasor criou aproximadamente 18,4 milhões de ZANO em uma única transação. Uma segunda exploração ocorreu em 25 de setembro, quando outros cerca de 18,4 milhões de ZANO foram cunhados. Em sequência, o mesmo método foi usado para criar aproximadamente 1,8 quatrilhão de tokens Freedom Dollar (fUSD), totalizando cerca de 36,9 milhões de ZANO e 1,8 quatrilhão de fUSD antes da reversão da cadeia.

A investigação apontou que o invasor havia investido 100 ZANO para configurar a exploração — valor que foi informado como equivalente a aproximadamente US$ 553 no momento da publicação. A equipe explicou que a primeira cunhagem passou despercebida por quase um mês porque as saídas das moedas não autorizadas pareciam transações comuns, e a atividade só foi sinalizada internamente após a segunda cunhagem.

Quinten van Welzen, chefe de marketing e crescimento da Zano, afirmou que apenas uma pequena fração das moedas cunhadas chegou a entrar no mercado, limitada pela liquidez disponível nas exchanges. Mesmo assim, a indistinguibilidade da oferta levou a equipe a optar pela reversão, mesmo reconhecendo que isso incluiria transações legítimas e poderia prejudicar a confiança.

A análise também registrou que testes assistidos por IA, auditorias internas e programas de recompensa por bugs não identificaram a falha antes do ataque. Em resposta, a Zano informou que trabalhará para restaurar os saldos afetados usando seu fundo de desenvolvimento, recursos pessoais de membros da equipe e contribuições comprometidas. A recuperação deverá ocorrer principalmente por meio de exchanges e serviços de pagamento, com as exchanges refazendo os saques revertidos e a equipe creditando depósitos afetados.

Como contexto de mercado citado no material original, algumas cotações mencionadas foram: TRX $0.3343 (1.95%), LINK $14.35 (0.92%), ZEC $1,379.64 (0.73%), ADA $0.2543 (2.08%), XRP $1.52 (2.12%), ETH $2,729.76 (2.83%), BTC $85,866.44 (1.77%), XMR $549.70 (2.80%), BNB $775.12 (0.92%), XLM $0.2227 (1.31%), SOL $121.23 (0.52%), HYPE $89.84 (3.07%).

O episódio é um chamado prático para projetos de blockchain: reforçar controles sobre registros de Gateway Address, aprimorar detecção de comportamentos atípicos e combinar auditorias humanas com testes automatizados contínuos. A recuperação exigirá coordenação entre desenvolvedores, exchanges e usuários para restaurar saldos e confiança, enquanto lições técnicas e operacionais serão fundamentais para evitar repetições.

Fonte: Cointelegraph Brasil