В блокчейне Pirate Chain неизвестный создал почти 40 миллионов криптомонет из воздуха, а разработчики не смогли просто отменить последствия атаки. 14 октября злоумышленник воспользовался ошибкой проверки транзакций и выпустил около 39,8 млн ARRR без разрешения сети. Команда проекта подтвердила, что предложение криптовалюты увеличилось примерно на 20%.
Pirate Chain предназначена для анонимных переводов и скрывает суммы, отправителей и получателей с помощью криптографии. Сразу после незаконного выпуска монеты попали в защищённый пул Sapling, где публично проследить дальнейшие операции практически невозможно. Разработчики признают, что не могут восстановить полную цепочку движения поддельных активов.
Уязвимость проявилась после обновления Ironwood, которое запустили 3 октября, за 11 дней до обнаружения атаки. По объяснению команды, злоумышленник совместил два сбоя при проверке транзакций. Первый позволил обойти контроль выпуска монет, второй заставил систему неправильно интерпретировать скрипты выходов транзакций. Криптографическую защиту приватных переводов при атаке не взломали.
Вначале команда объявила об откате блокчейна к состоянию на 20:00 UTC 14 октября. Такой шаг должен был исключить из истории операции, совершённые после выбранного момента. Однако уже 15 октября разработчики отказались от первоначального плана, признав, что децентрализованную сеть нельзя остановить или переписать единоличным решением. Для изменения истории потребуется согласие участников.
Вместо одностороннего отката Pirate Chain предложила согласованное обновление сети с хардфорком на блоке перед незаконной эмиссией. Хардфорк меняет правила блокчейна и требует, чтобы участники перешли на новую версию. Узлы должны принять общую историю операций, иначе сеть рискует разделиться. Срок проведения обновления пока не назван.
Биржа NonKYC обнаружила подозрительные поступления, ограничила связанный с атакой аккаунт и заблокировала вывод средств. Операторы дополнительной защиты dPoW временно приостановили подтверждение блоков в других сетях. Разработчики попросили биржи и майнинговые пулы поставить работу на паузу, а держателей ARRR воздержаться от переводов, хотя сам блокчейн продолжает работать.
Инцидент напоминает о другой проблеме. В июне в сети Zcash раскрыли уязвимость, позволявшую создавать монеты без обнаружения в публичном учёте. Но в Pirate Chain подтверждена реальная незаконная эмиссия, а не только возможность эксплуатации. Команда не обнаружила признаков компрометации ключей подтверждения и криптографии приватных транзакций. Размер фактических финансовых потерь пока неизвестен.
Главная сложность теперь связана не с обнаружением поддельных монет, а с тем, как исключить подделки из обращения, не нарушив работу сети. Анонимность Sapling мешает проследить средства, а переход на новую цепочку зависит от согласия участников. Pirate Chain готовит технический разбор происшествия и инструкции по восстановлению, но по состоянию на 19 октября окончательное решение пока не реализовано.