ZKsync имеет подтвердил Инцидент безопасности, связанный с несанкционированной эмиссией токенов ZK на сумму около 5 миллионов долларов, был выявлен после взлома учётной записи администратора, привязанной к контрактам на распределение токенов в рамках эирдропа. Согласно заявлению, опубликованному службой безопасности ZKsync, утечка, направленная на невостребованные токены из недавнего эирдропа, была локализована.
Злоумышленник воспользовался привилегированной функцией контракта на раздачу монет (airdrop), чтобы выпустить около 111 миллионов токенов ZK. Это увеличило общий объём токенов в обращении на 0.45%, хотя последствия ограничились механизмом раздачи монет.
Инцидент локализован, более широкого риска нарушения протокола нет
ZKsync подчеркнул, что средства пользователей не пострадали, и что протокол в целом остаётся безопасным. Несанкционированный доступ был ограничен одним адресом администратора, курирующим три контракта на распределение токенов через Airdrop. Инцидент не затронул контракт на токены ZK, основной протокол, контракты управления или активных ограниченных эмитентов.
Скомпрометированная учётная запись инициировала транзакцию по добыче, которая в настоящее время расследуется. В настоящее время основная часть украденных токенов хранится в кошельке злоумышленника по другому адресу. Организация пояснила, что с помощью этого метода невозможно добыть дополнительные токены ZK, заявив, что уязвимость полностью эксплуатирована и больше не активна.
Продолжаются восстановительные работы, расследование продолжается
ZKsync сотрудничает с группой по безопасности блокчейна SEAL 911 и координирует действия с криптовалютными биржами для заморозки или возврата активов, где это возможно. Команда также призывает злоумышленника связаться с ними для обсуждения возврата средств и возможного смягчения правовых последствий.
Ожидается, что полный технический отчёт будет опубликован после завершения внутреннего расследования. ZKsync не раскрыла, как злоумышленник получил доступ к учётной записи администратора, хотя и подтвердила, что это произошло из-за скомпрометированного ключа, а не из-за уязвимости смарт-контракта.
Это событие знаменует собой важное напоминание о рисках, связанных с управлением ключами в децентрализованных экосистемах, особенно на этапах распределения токенов. Сроки возможного восстановления или дальнейших обновлений пока не объявлены.
