Zano利用漏洞铸造超过1千万亿fUSD后遭回滚_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Zano利用漏洞铸造超过1千万亿fUSD后遭回滚

2026-10-02 18:00:00

Zano发布事故复盘：攻击者利用“网关地址”漏洞铸造数千万代币，项目方回滚区块链一个月

Zano团队发布了一份详细的事故复盘报告，披露了在过去一个月内，一名攻击者如何利用“网关地址（Gateway Address）”漏洞进行非法操作。在该项目通过回滚区块链约一个月的数据以清除未经授权生成的代币之前，攻击者已铸造了数千万枚新代币。

根据Zano的报告，攻击者于8月29日首次利用该漏洞，随后在9月25日再次使用相同的铸造方法。据Zano调查结果显示，攻击者通过伪造资产最终铸造了3690万枚Zano（ZANO）代币和1.8千万亿枚Freedom Dollar（fUSD）代币。Zano市场与增长负责人Quinten van Welzen向媒体表示，这些代币中只有一小部分流入外部市场，主要受限于交易所的流动性不足。

核心要点

Zano的事故复盘将此次漏洞利用归因于8月29日和9月25日发生的两次未经授权的铸造事件，共计铸造3690万枚ZANO。
同一漏洞被用于铸造约1.8千万亿枚fUSD代币，团队指出这些代币的行为表现与正常的Zano输出无异。
由于项目方无法可靠地区分未经授权生成的代币与合法代币，因此执行了约一个月的区块链历史回滚。
恢复工作计划通过交易所和支付服务进行，撤销受影响的提款并贷记存款，资金来源于开发者基金、团队成员个人资金以及承诺的贡献。

漏洞原理及攻击者的重复操作手法

Zano的事故复盘指出，攻击者在8月28日注册了“网关地址”并支付相关费用后，利用了该漏洞。次日，攻击者测试了一项伪造资产，随后进行了第一次未经授权的铸造。

据Zano称，第一次漏洞利用发生在8月29日，攻击者在单笔交易中创建了约1840万枚ZANO。团队补充道，第二次铸造事件发生在9月25日，攻击者采用相同的方法再次创建了约1840万枚ZANO。

在两次铸造ZANO后，攻击者使用相同的方法生成了约1.8千万亿枚fUSD代币。Zano表示，这些代币表现得如同真实的ZANO一样，可以正常花费——这是一个重要细节，解释了为何该活动能够在一段时间内与常规的链上输出混同而不被察觉。

为何Zano选择回滚一个月的区块链历史

项目方决定将区块链回滚约一个月的原因，主要集中在被篡改代币的性质上。Zano承认，回滚会损害信任，因为它不仅逆转了攻击者的活动，还重写了受影响窗口期内记录的所有合法交易。

然而，Zano认为，未经授权生成的供应量无法以足够的确定性从合法硬币中区分出来。因此，如果将这些代币保留在系统中，可能会导致账本持续受到污染——团队认为，这对长期信心的损害比逆转历史记录更为严重。

Zano的报告还揭示了检测滞后的原因：在团队看来，这些未经授权的铸造属于“普通输出”，内部团队直到第二次铸造后才识别出异常活动。

检测漏洞与测试失败

Zano表示，多种防御措施未能及时捕捉到该漏洞。事故复盘提到了AI辅助测试、内部审计和漏洞赏金计划——这些努力旨在部署前或可被利用前发现问题。

时间线显示，即使在8月29日发生首次铸造后，漏洞利用在近一个月内未被发现。Zano描述称，攻击者首次铸造的1840万枚ZANO未触发检测，因为从输出层面看，这些代币看起来是合法的。直到第二次铸造发生时，内部警报才触发进一步审查。

报告的另一个细节指出了攻击者如何获得访问权限：Zano表示，攻击者支付了100 ZANO的入门费来设置漏洞，Zano估计这在发布时约为553美元。在8月28日注册网关地址并进行初步测试后，攻击者在次日进行了未经授权的铸造。

受影响用户的恢复方案

Zano还概述了下一阶段的工作：结合多种来源来恢复受影响的余额。项目方表示，正通过开发者基金、团队成员个人资金以及承诺的贡献来恢复受影响的余额。

Zano表示，恢复工作主要通过交易所和支付服务进行。由于回滚逆转了部分链上历史，Zano声明，对于因回滚而撤销的提款，交易所将被贷记受影响的存款金额。

此外，Zano市场与增长负责人Quinten van Welzen表示，只有极小部分的铸造代币进入了市场，这归因于交易所的流动性限制。这表明，虽然漏洞在链上创造了大量的ZANO和fUSD，但在外部分发这些代币的实际能力可能有限。

对于关注后续影响的用户来说，关键的实际细节在于，Zano不仅在通过回滚解决供应问题，还在协调下游服务以恢复余额。这一执行过程将很可能决定交易者和持有者对系统会计及其正常交易能力的信心恢复速度。

展望未来，读者应密切关注Zano与交易所及支付服务进行的回滚后恢复进程，并留意任何旨在防止类似网关地址类漏洞再次绕过审计和测试的新安全措施的最新动态。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文