Čo sa stalo?

• Admin účet, ktorý riadil zmluvy na distribúciu airdropov, bol napadnutý.
• Útočník použil funkciu sweepUnclaimed() a vyrazil 111 miliónov tokenov ZK.
• Ukradnuté boli nevyzdvihnuté tokeny – v hodnote ~5 miliónov USD.

Tento incident dramaticky zrazil cenu tokenu ZK o 15 % a vyvolal masívny odpor komunity.

Detaily incidentu

• Zasiahnutá bola výhradne zmluva o airdrope, nie samotný protokol ani governance.
• Útočník stále drží väčšinu tokenov na adrese:
  0x842822c797049269A3c29464221995C56da5587D
• Spoločnosť ZKsync tvrdí, že ďalšie zneužitia už nie sú možné.
• Útočník bol vyzvaný, aby kontaktoval security@zksync.io s možnosťou vrátenia prostriedkov.

Reakcia komunity

• Frustrácia, najmä od používateľov, ktorí očakávali airdrop.
• Obvinenia zo:
  • zlej správy prístupov
  • netransparentného prístupu k distribúcii
  • dokonca aj zámerného insider predaja

Citácia používateľa:

„Rovnaké tokeny, ktoré ste nemohli dať komunite… Stačí predať a odísť.“

Komentár:

Tento incident:

• oslabuje dôveru v bezpečnosť L2 riešení, ktoré sa spoliehajú na centralizované prvky (admin kľúče).
• je PR katastrofou pre projekt, ktorý sa snaží byť lídrom vo svete zk-rollupov a škálovania Etherea.
• podčiarkuje potrebu:
  • transparentných mechanizmov distribúcie
  • multisig systémov pre správu kritických funkcií
  • on-chain governance, nie e-mailové výzvy hackerom

Záver:

Toto je varovný príklad pre celý krypto sektor:

„Ak nezabezpečíte airdrop, stratíte nielen tokeny, ale aj dôveru.“

Príspevok Zneužitie airdropu ZKsync je zobrazený ako prvý na Kryptoblog24.