El responsable de la vulnerabilidad en la red Zano logró crear una cantidad astronómica de tokens fUSD —aproximadamente 1,8 cuatrillones— junto con 36,9 millones de monedas ZANO nativas, antes de que el equipo decidiera revertir un mes completo de la cadena de bloques. El ataque, que explotó una falla en el sistema Gateway Address, pasó desapercibido durante semanas hasta que las transacciones fraudulentas se volvieron evidentes.
Detalles de la explotación
Según el informe post-mortem divulgado el jueves, el intruso aprovechó por primera vez la vulnerabilidad el 29 de agosto, acuñando en una sola operación cerca de 18,4 millones de ZANO. Repitió la maniobra el 25 de septiembre, generando otros 18,4 millones de la criptomoneda, y posteriormente utilizó el mismo método para fabricar alrededor de 1,8 cuatrillones de tokens Freedom Dollar (fUSD). El equipo de Zano señaló que estas monedas no autorizadas eran funcionalmente idénticas a las legítimas, por lo que podían gastarse sin restricciones.
Quinten van Welzen, responsable de marketing y crecimiento de Zano, explicó a Cointelegraph que solo una fracción insignificante de esos activos llegó al mercado, ya que su circulación estaba limitada por la liquidez disponible en los exchanges. Estas cifras explican por qué los desarrolladores solicitaron una reversión de aproximadamente un mes de historial de la cadena, incluyendo transacciones válidas. Aunque reconocieron que la medida dañaría la confianza de los usuarios, sostuvieron que era indispensable para eliminar el suministro ilícito, dado que no podía diferenciarse de las monedas reales.
El costo de la intrusión
El análisis posterior reveló que el atacante pagó una comisión de entrada de 100 ZANO (equivalentes a unos 553 dólares al momento del informe) para preparar la explotación. El 28 de agosto registró una Gateway Address, abonó la tarifa correspondiente y luego probó un activo falsificado antes de la primera acuñación no autorizada al día siguiente. La primera generación fraudulenta de 18,4 millones de ZANO pasó inadvertida durante casi un mes. El equipo indicó que las monedas ilícitas parecían salidas normales, y solo tras la segunda acuñación los sistemas internos detectaron la anomalía.
Zano admitió que las pruebas asistidas por inteligencia artificial, las auditorías internas y los programas de recompensas por errores no lograron identificar la falla. Como parte de la recuperación, el equipo afirmó que está restaurando los saldos afectados utilizando su fondo de desarrollo, recursos personales de los miembros del equipo y contribuciones comprometidas. La restitución se canalizará principalmente a través de exchanges y servicios de pago: los exchanges reanudarán los retiros revertidos por el retroceso, y el equipo acreditará los depósitos perjudicados.
Implicaciones para la confianza en la red
El incidente subraya los riesgos inherentes a las vulnerabilidades en protocolos de criptomonedas, incluso cuando se aplican múltiples capas de seguridad. La decisión de revertir la cadena, aunque drástica, fue considerada la única vía para eliminar el suministro no autorizado. Sin embargo, el equipo reconoció que esta acción podría erosionar la confianza de la comunidad, un desafío que Zano deberá enfrentar mientras trabaja en la restauración de los saldos y la implementación de medidas correctivas.