Zano利用者在回滚前非法使用了3690万枚未经授权ZANO_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Zano利用者在回滚前非法使用了3690万枚未经授权ZANO

2026-10-02 14:58:11

Zano详解Gateway地址漏洞利用机制：攻击者铸造数百万代币后项目方选择回滚区块链

Zano团队详细披露了导致其Gateway地址（Gateway Address）漏洞被利用的技术细节及规模。此前，一名攻击者利用该漏洞铸造了数百万枚ZANO代币以及额外的稳定币类资产，最终该项目方决定回滚约一个月的区块链历史以消除非法供应。

在周四发布于X平台上的事故复盘报告中，Zano团队表示，攻击者利用此漏洞创建了3690万枚ZANO代币以及Freedom Dollar（fUSD）代币，随后网络被回滚以移除这些未经授权生成的代币。这一数据也解释了为何项目方警告称，尽管回滚会对用户信任造成损害，但这却是彻底清除无法与合法输出区分开的非法代币的唯一可行方案。

核心要点

事故复盘将漏洞归因于Gateway地址的滥用，并描述了两起分别涉及约1840万枚ZANO代币的铸造事件。
Zano指出，攻击者还使用相同方法铸造了fUSD，其中一部分代币流入了Zano生态系统。
项目方选择回滚约一个月的历史数据，原因是非法代币一旦生成便具备可花费性，且与正常输出难以区分。
内部监控、审计和漏洞赏金计划均未能在此活动发生后的第二笔铸造前发现异常。
Zano表示，目前正在通过开发者基金、团队成员出资及其他承诺资源进行恢复工作，执行过程主要经由交易所和支付服务渠道进行。

Gateway地址漏洞利用原理

根据Zano的事故复盘报告，攻击者首先于8月29日利用Gateway地址漏洞，在一笔交易中铸造了约1840万枚ZANO代币。随后，攻击者在9月25日重复了相同的手法，再次生成了1840万枚ZANO代币。

团队进一步指出，攻击者还利用该技术铸造了fUSD，部分代币因此流入Zano生态系统。虽然Zano未提供具体的fUSD铸造数量或受影响用户数的详细分解，但强调了一个关键点：这些非法代币并未“锁定”在易于识别的状态中。

“这些代币表现得如同合法的ZANO，可以被正常花费。”Zano团队在复盘中写道。

为何Zano选择回滚部分链上历史

漏洞利用的时间点及其未被发现的持续期，有助于解释Zano决定逆转链上状态的原因。Zano声明，第一笔未经授权的1840万枚ZANO铸造行为在近一个月内未被察觉。

据团队描述，恶意输出看起来与普通交易结果无异。内部团队直到第二笔铸造发生后才标记出该异常活动，这表明当时的漏洞并未触发明显的警报条件。

Zano承认，回滚会因中断包含在回滚历史中的合法交易而损害信任。然而，项目方认为，事后无法安全地将非法铸造与合法代币区分开来——这意味着如果任由链上状态继续发展，网络将无法干净地隔离出持久存在且可花费的非法供应量。

漏洞设置、入门费用及测试窗口

Zano的调查还揭示了攻击者的准备过程。复盘报告显示，攻击者支付了100枚ZANO的费用来设置漏洞利用环境，团队估计这在发布时约合553美元。

据Zano方面称，攻击者于8月28日注册了一个Gateway地址，支付了注册费，并在次日（8月29日）首次非法铸造前测试了一种伪造资产。团队的时间线暗示这是一个有意的序列：建立Gateway地址，运行测试以确认漏洞利用行为，然后在机制按预期工作时大量铸造代币。

检测失效原因及后续措施

Zano表示，多项安全措施未能阻止问题在大规模利用前被发现。在复盘中，团队指出，AI辅助测试、内部审计和漏洞赏金计划均未及时识别出该漏洞。

此次披露伴随着Zano持续的恢复工作。周三发布的另一份公告中，项目方表示正在努力恢复受影响的余额，资金来源于开发者基金、团队成员的个人资金以及承诺的贡献。据Zano称，恢复工作将主要通过交易所和支付服务进行。

团队还描述了如何与交易所协调以应对回滚带来的影响：因链重组而被撤销的提款将以反映修正后状态的方式进行重放，同时团队将为受影响的存款进行贷记处理。

这种方法对用户至关重要，因为大规模回滚可能会使托管和对账变得复杂。通过经由交易所和支付处理器进行恢复，Zano实际上试图标准化在网络状态变更后，“应贷记金额”的重建方式。

投资者和用户需关注的事项

对于追踪后续发展的读者而言，当下的首要问题是：Zano的恢复流程——特别是针对交易所和支付服务的重放及存款贷记计划——是否能在不引入新不一致性的情况下，完全解决回滚带来的实际影响。

从长远来看，最大的不确定性在于Zano能否更新其Gateway地址的逻辑和验证机制，以确保未来的非法铸造不再与正常输出难以区分。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文