Rollback wist maand aan Zano-transacties na kwetsbaarheid

Zano heeft zijn blockchain teruggezet naar blok 3.833.000, direct vóór Hard Fork 6, nadat een kwetsbaarheid in zogeheten Gateway Addresses ongeautoriseerde ZANO en Freedom Dollar (fUSD) in omloop bracht. De ingreep maakt behalve de ongeautoriseerde tokens ook ongeveer een maand aan legitieme transacties ongeldig, zo meldt het kernteam van Zano.

Achtergrond: Gateway Addresses en Hard Fork 6

De herstelde keten begint precies op het blok voorafgaand aan Hard Fork 6, de upgrade die Gateway Addresses introduceerde. Deze functie moest het voor bridges, exchanges en betaaldiensten eenvoudiger maken om met Zano te integreren door hen fondsen te laten beheren via één accountachtig saldo, vergelijkbaar met hoe andere blockchains werken.

Vóór de introductie van Gateway Addresses volgden gewone Zano-wallets fondsen als losse transaction outputs, ook wel UTXO’s genoemd. Exchanges en andere diensten moesten daarvoor de blockchain scannen om binnenkomende betalingen te herkennen, die outputs bijhouden en zelf bepalen welke ze gebruikten bij het verwerken van opnames. Dat proces is vergelijkbaar met de infrastructuurkwetsbaarheden die eerder aan het licht kwamen bij de rechtszaak van KelpDAO tegen LayerZero na een bridge-exploit. Zano ging in mei 2019 live als layer-1-blockchain gericht op private betalingen, waarbij standaard private transacties afzenders, ontvangers, bedragen en assettypen verbergen.

Waarom Zano de keten terugzette

Het team koos voor de rollback omdat niets doen volgens Zano zou betekenen dat de ongeautoriseerde ZANO en fUSD onbeperkt in omloop zouden blijven. Quinten van Welzen, hoofd marketing en groei bij Zano, verwoordde de afweging als volgt: “Doing nothing meant unauthorized ZANO and fUSD in circulation without limit, diluting every holder and breaking the most basic promise a currency makes: a fixed supply.”

Gevolgen voor transacties en gebruikers

De rollback maakt ongeveer een maand aan legitieme transacties ongeldig naast de ongeautoriseerde tokens. Betalingen die tijdens die periode zijn gedaan, verschijnen niet meer op de herstelde keten, wat voor gebruikers en diensten kan betekenen dat administratie en saldi niet langer overeenkomen met wat eerder werd geregistreerd.

Nodes, miners, stakers, exchanges en andere diensten moeten de update overnemen voordat de recovery daadwerkelijk effect heeft. Betalingen die al zijn afgewikkeld op andere blockchains kunnen niet worden teruggedraaid, aldus het team. Zano zegt te werken aan het inventariseren van verliezen en kondigt een vergoedings- en claimproces aan, een aanpak die doet denken aan hoe platforms na een hack schadeafhandeling opzetten, zoals eerder te zien was bij het opnameplan van Bitget na de eigen hack.

Vertrouwen en herstel

Van Welzen erkent dat de keuze een prijs heeft. “Restarting the chain from before Hard Fork 6 costs a month of history, and it costs trust, which we’ll have to earn back,” zei hij, daarbij benadrukkend dat de rollback wel de oorspronkelijke voorraad herstelt en een pad openlaat om verder te bouwen. Op het moment van publicatie had Zano nog geen technische post-mortem van de exploit vrijgegeven.

Wat nu te volgen

De feitelijke uitvoering van de recovery hangt af van hoeveel nodes, miners, stakers, exchanges en andere diensten de nieuwe software overnemen. Daarnaast moet Zano nog een concreet vergoedings- en claimproces publiceren voor gebruikers die transacties uit de teruggedraaide periode zijn kwijtgeraakt, en blijft een gedetailleerde technische verklaring van de exploit vooralsnog uit.