Zano rollback wist miljoenen aan tokens

Marktcontext per 12.36 uur CEST. ZANO noteert 5,64 dollar, 2,59 procent onder de 24-uurs high van 5,79 dollar en 2,73 procent boven de 24-uurs low van 5,49 dollar. Het handelsvolume van de afgelopen 24 uur bedraagt amper 29.686 dollar. Dat is een fractie van de 36,9 miljoen vervalste tokens die de aanvaller in omloop bracht. Bron, CoinGecko.

Hoe de Zano rollback kon gebeuren

Een aanvaller richtte op 28 augustus een Gateway Address in, de functie waarmee Zano synthetische activa aan het netwerk koppelt, meldt Cointelegraph. Hij betaalde de standaardvergoeding van honderd ZANO. Dat is nog geen 553 dollar. Eerst testte hij het systeem met een verzonnen activum. Dat verliep ongemerkt. Een dag later sloeg hij toe voor 18,4 miljoen ZANO. Niemand merkte het. Pas op 25 september herhaalde hij de truc. Hij creeerde nogmaals 18,4 miljoen ZANO, aangevuld met 1,8 biljard valse fUSD. De vervalste munten gedroegen zich als echte ZANO. Ze waren te versturen, te verhandelen en te verzilveren bij elke partij die ze aannam. Interne audits, bug bounties en geautomatiseerde tests vonden de fout niet.

Een vergelijkbaar patroon speelde deze week bij een los gekoppelde module bij Aave. Niet de kerncode faalde daar, maar een randvoorziening. Bij Zano ligt dat anders, want het lek zat in de kernfunctie zelf. Woordvoerder Quinten van Welzen zegt dat slechts een klein deel van de valse munten de markt bereikte. De lage liquiditeit op de aangesloten beurzen hield de buit grotendeels vast, bevestigt Blockonomi.

Wat dit betekent voor de Nederlandse belegger

ZANO staat niet genoteerd bij Bitvavo of een andere AFM-geregistreerde Nederlandse beurs. Wie het token aanhoudt, doet dat via platforms als MEXC, BitMart of CoinEx. Geen van die beurzen valt onder een Nederlandse of Europese CASP-vergunning. Dat verschil is niet theoretisch. Ook stablecoin OUSD mist die registratie voor Europa, bleek deze week. Een MiCA-vergunning verplicht een aanbieder tot scheiding van clientvermogen en een aansprakelijke bewaarder. Zonder die dekking draagt de belegger het volledige risico bij een rollback of een bevroren saldo.

Voor wie kleine altcoins aanhoudt op een buitenlandse beurs is dat een harde les. Het token zelf overleefde de ingreep zonder koersval van betekenis. De rollback trof uiteindelijk meer gewone gebruikers dan de hack zelf, via geannuleerde transacties uit de afgelopen maand. Een vergelijkbare privacycoin, Zcash, was eerder dit jaar al doelwit voor het verbergen van buit. Dit marktsegment blijft gevoelig voor misbruik.

Herstel verloopt in fases voor getroffen gebruikers

Zano betaalt de compensatie uit het eigen ontwikkelfonds, aangevuld met persoonlijke bijdragen van het team en externe donaties. Aangesloten beurzen spelen geannuleerde opnames en stortingen stap voor stap opnieuw af, bevestigt CoinCentral. Dat proces loopt door deze week. Toch is er een concreet ijkpunt voor de komende dagen. Marktpartijen letten op het steunniveau van 5,49 dollar, de 24-uurs low van vandaag. Een nieuwe duik onder dat niveau zou wijzen op aanhoudende onzekerheid bij de resterende liquiditeit op de kleine beurzen waar ZANO nog handelt. De lopende Europese herziening van MiCA raakt dit soort tokens vooralsnog niet, omdat ze buiten de EU worden verhandeld.

Dit artikel is informatief en geen financieel advies. Beleggen in crypto-activa brengt risico op verlies met zich mee. Doe eigen onderzoek naar de voorwaarden, de fiscale gevolgen en de eigen risicobereidheid. Raadpleeg bij twijfel een onafhankelijk adviseur voordat je kapitaal inzet.