Zano攻击者铸造3690万枚ZANO及1.8千万亿……_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

Zano攻击者铸造3690万枚ZANO及1.8千万亿……

2026-10-03 00:35:30

Zano披露重大安全漏洞：攻击者利用网关地址缺陷铸造近3700万枚ZANO及18亿亿枚fUSD

Zano团队近日披露了一起严重的安全事件。攻击者利用其新推出的“网关地址（Gateway Address）”系统中的漏洞，非法铸造了约3690万枚ZANO代币以及1.8千万亿枚Freedom Dollar（fUSD）代币。这一事件的规模之大，迫使这家注重隐私的区块链网络不得不擦除约一个月的交易历史记录。

根据Zano发布的事故后分析报告，攻击者于8月28日注册了一个网关地址，并于次日利用该漏洞在单笔交易中生成了约1840万枚ZANO。首次非法铸造行为在近一个月内未被发现。随后，攻击者于9月25日卷土重来，再次制造了约1840万枚ZANO，并利用相同的底层弱点生成了约1.8千万亿枚fUSD。Zano方面表示，一旦这些未经授权生成的代币被创建，它们在协议层面便表现为真实的ZANO，可以像正常代币一样进行转移和消费。

网关地址漏洞如何生成看似合法的ZANO？

网关地址是Zano在8月底进行的Hard Fork 6升级中引入的功能，旨在简化与交易所、跨链桥、支付网关及其他服务的集成。与传统UTXO地址不同，网关地址采用基于账户的结构，以便外部系统更轻松地管理余额。根据Zano的技术文档，注册网关地址需支付100 ZANO的费用，且该费用会被永久销毁。攻击者在测试伪造资产并执行首次非法铸造前，支付了这笔费用。

事故报告指出，此次漏洞源于网关地址实现过程中缺乏必要的验证机制。该缺陷允许通过特殊构造的资产标识符满足交易证明，同时在输出端引入额外的代币。一旦生成，这些非法ZANO并未携带任何标记，使得网络无法可靠地区分其与合法供应量之间的差异。

此外，此次事件也暴露了上线前控制措施的失效。Zano表示，在部署之前，内部审计、漏洞赏金计划以及AI辅助测试均未发现此漏洞。首次生成1840万枚代币的行为也未触发即时警报，直到第二轮非法铸造完成后，可疑活动才被发现。

投资者启示：技术风险的核心在于代币的合法性

主要的技术风险不仅在于新代币可以被创建，更在于生成的ZANO在协议层面被视为有效。一旦非法供应量与正常代币变得无法区分，针对特定地址的冻结或移除操作将变得极其困难。

为何Zano选择回滚整整一个月的数据？

Zano的应对措施是协调一次网络升级，将区块链从第3,833,000个区块重新开始，即在有漏洞的网关地址功能引入之前的状态。此举丢弃了约一个月的区块链历史记录，其中包括与本次漏洞无关的交易。网络恢复更新指出，回滚操作将非法活动从恢复后的链上清除，同时保持了ZANO的正常供应量和发行计划不变。Zano还强调，普通钱包的支出密钥和交易隐私并未受到损害。

这一决定使Zano加入了那些认为“回滚风险优于让非法资产流通”的网络行列。此前，Cronos在遭遇Tectonic漏洞后回滚了近两小时的区块链历史，虽然恢复了大部分受影响的价值，但也撤销了合法交易。Harmony则在攻击者伪造超过3万亿ONE代币后面临类似的供应完整性问题，其提出的区块链回滚方案同样反映了在欺诈性代币已通过交易所、跨链桥和去中心化应用流动后，将其隔离的难度。

投资者启示：回滚的成本转移

回滚操作虽然从恢复后的链上去除了非法供应量，但将部分运营成本转移给了因历史记录丢弃而失去交易的合法用户、交易所和服务提供商。因此，恢复执行的效率与技术补丁本身同等重要。

Zano将如何恢复被回滚的交易？

Zano表示，其意图在不改变网络正常发行计划的前提下恢复受影响用户的余额。资金预计来源于项目开发者基金、团队成员的个人出资以及额外的承诺捐款。大多数对账工作将通过交易所和支付提供商进行。在废弃期间完成的提币操作，实际上可以在回滚后返回到交易所的钱包中，这需要交易所将这些交易在恢复后的链上重新播放。存款则会产生相反的问题，因为用户可能已经收到了对应交易的账户信用，尽管这些交易在恢复后的账本中已不存在。这种机制与FinanceFeeds指南中探讨的跨链漏洞恢复后出现的广泛对账问题相似，即在紧急干预后，区块链状态与交易所、跨链桥及外部网络持有的记录可能会出现分歧。

截至10月2日，ZANO的交易价格约为5.64美元，市值接近8700万美元。过去七天内代币价格下跌约24%，据报道24小时交易量仅为2.2万美元左右，这表明相较于非法发行的理论价值，市场流动性相对薄弱。

投资者启示：关注流动性而非名义损失

这3690万枚非法铸造的ZANO不应被视为等量的已实现市场损失，因为其可用流动性远低于铸造供应的名义价值。更有用的恢复指标包括：交易所提币功能的重新开放、余额对账的成功完成，以及有证据表明服务已完全迁移至修复后的链上。

免责声明：

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证，网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用，不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责，与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容，并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文