Проблема с административной учетной записью ZKsync
Команда безопасности протокола ZKsync обнаружила, что административный аккаунт был взломан. В результате злоумышленник получил доступ к примерно 5 млн USD токенов ZK, которые были не востребованными остатками после аирдропа.
Права пользователей и безопасность протокола
Все средства пользователей находятся в безопасности и никогда не подвергались риску. Протокол и смарт-контракт токена ZK остались защищенными, и дальнейшая безопасность ZK не вызывает опасений.
Технические детали взлома
- Взломанный аккаунт: 0x842822c797049269A3c29464221995C56da5587D
- Контракты, контролируемые им: три контракта, отвечающие за распределение аирдропа
- Функция, вызванная злоумышленником: sweepUnclaimed()
- Результат: примерно 111 млн невостребованных токенов ZK выпущено со смарт-контрактов аирдропа
- Увеличение общего количества токенов в обращении: около 0,45 %
Влияние на рынок
После инцидента цена токена ZK упала на 17 %, однако вскоре частично восстановила прежний уровень.
Ответные меры и сотрудничество
Проект объявил о сотрудничестве с экспертами из Security Alliance и попросил атакующего связаться для возврата средств, чтобы избежать возможных юридических последствий. Злоумышленник до сих пор удерживает большую часть средств на компрометированном адресе.
Контекст и история ZKsync
В 2021-2022 г. ZKsync привлек инвестиций в 450 млн USD. Сентябрь 2024 г. CEO Matter Labs сообщил о сокращении штата на 16 %. В июне 2024 г. проект провел аирдроп 3,6 млн токенов ZK, после чего ключевые показатели существенно снизились. ДАО, стоящее за ZKsync, досрочно завершило программу вознаграждений Ignite 17 марта, ссылаясь на медвежьи условия на рынке.