Une violation de la sécurité chez ZKsync, liée à l'un de ses contrats de distribution d'airdrop, a entraîné le balayage non autorisé d'environ 5 millions de dollars de ZK tokens.
Un communiqué officiel de l'équipe de sécurité de ZKsync a indiqué que l'attaque était le résultat d'un compte administrateur compromis, donnant à l'attaquant un accès aux jetons d'airdrop non réclamés.
L'incident a été décrit comme complètement contenu et isolé. ZKsync a souligné qu'aucun fonds utilisateur n'a été affecté à aucun moment, et l'infrastructure principale—y compris le protocole ZKsync, le contrat de token ZK, et tous les contrats liés à la gouvernance—reste entièrement sécurisée. L'attaque n'a pas affecté d'autre segment de l'écosystème en dehors du contrat de distribution de goutte.
Le portefeuille qui a été compromis a été identifié comme 0x842822c797049269A3c29464221995C56da5587D et a été trouvé pour conserver un contrôle de niveau administrateur sur trois contrats de distribution de jetons qui ont été utilisés pour distribuer des jetons ZK en tant qu'airdrop. En utilisant ce contrôle, l'attaquant a appelé la fonction Goutte, ce qui leur a permis de recevoir et de contrôler environ 111 millions de jetons ZK qui n'avaient pas encore été réclamés par les bénéficiaires éligibles.
Impact confiné au contrat de Goutte
Cet événement de frappe qui a eu lieu sans autorisation appropriée a fait en sorte que l'offre de jetons ZK en circulation a été augmentée d'environ 0,45 pour cent. Bien que cela représente une quantité relativement petite par rapport à la totalité de l'offre, cet événement est remarquable surtout en raison de ce qu'il était et de quand il a eu lieu. Les jetons en question n'étaient pas censés circuler de cette manière mais étaient plutôt destinés à la distribution par airdrop.
ZKsync a rapidement vérifié qu'il s'agit d'un incident unique et que l'ampleur complète de l'exploitation s'est déjà déroulée. Tous les tokens qui pouvaient être générés par cette méthode ont déjà été générés, et la vulnérabilité a été traitée. Il n'y a plus de menace en cours, et l'attaquant ne peut plus utiliser le même vecteur pour l'exploitation.
Il est crucial de comprendre que le protocole ZKsync, le contrat de jeton ZK, les trois contrats de gouvernance et tous les mineurs limités du programme Token n'ont pas été compromis et sont pleinement fonctionnels. Cet incident n'affecte pas les portefeuilles des utilisateurs, la sécurité du protocole ou l'intégrité des contrats de jetons.
La majorité des tokens volés sont toujours entre les mains de l'attaquant. ZKsync a commencé un processus de récupération en collaboration avec le groupe de sécurité blockchain SEAL 911 et plusieurs échanges. Ces échanges aident à surveiller, tracer et stopper les fonds volés avant qu'ils ne puissent être blanchis ou vendus. ZKsync a publiquement invité l'attaquant à les contacter à security@zksync.io pour négocier le retour des fonds volés et éviter un procès.
Bien que l'impact financier de l'incident soit relativement contenu, il amplifie des préoccupations plus larges concernant la gestion des clés privées et l'octroi de droits administratifs dans les contrats intelligents.
La façon dont l'attaquant a accédé à la clé admin compromise reste non divulguée, mais ZKsync a promis à sa communauté qu'il est désormais plus sûr, qu'une enquête interne est en cours, et que ces mesures devraient prévenir qu'un événement similaire ne se reproduise.
La communauté crypto a des sentiments partagés à propos de cette nouvelle. Les préoccupations portent sur la violation elle-même ; le soulagement vient du fait qu'il semble que cela n'ait pas eu d'impact sur les autres systèmes. ZKsync a bien fait preuve de transparence concernant ce qui s'est passé. Il est possible que grâce à cette transparence, un bon PR puisse émerger de cet événement après tout. Mais si les gens crient "avantage du recul" concernant l'accès à l'airdrop de ZKsync, alors ils s'approchent dangereusement de devenir des critiques de la transparence crypto.
La confiance dans le processus de Goutte a subi un coup à court terme, mais il semble que la sécurité et la fonctionnalité de base de la plateforme ZKsync soient intactes. La façon dont ZKsync a géré cet événement—avec une containment rapide, une communication claire et un effort qui semblait bien répété et exécuté de manière collaborative—suggère que le protocole fait ce qu'il doit faire pour justifier une foi continue dans le projet.
Divulgation : Ceci n'est pas un conseil de trading ou d'investissement. Faites toujours vos recherches avant d'acheter une cryptomonnaie ou d'investir dans des services.
Suivez-nous sur Twitter @themerklehash pour rester informé des dernières nouvelles sur la Crypto, les NFT, l'IA, la cybersécurité et le Metaverse !
Le post ZKsync confirme le piratage du compte administrateur dans le contrat Airdrop : ~5M de dollars de ZK Tokens compromis est apparu en premier sur The Merkle News.
Le contenu est fourni à titre de référence uniquement, il ne s'agit pas d'une sollicitation ou d'une offre. Aucun conseil en investissement, fiscalité ou juridique n'est fourni. Consultez l'Avertissement pour plus de détails sur les risques.
ZKsync confirme le piratage du compte admin dans le contrat d'Airdrop : ~5M de Jetons ZK compromis
Une violation de la sécurité chez ZKsync, liée à l'un de ses contrats de distribution d'airdrop, a entraîné le balayage non autorisé d'environ 5 millions de dollars de ZK tokens.
Un communiqué officiel de l'équipe de sécurité de ZKsync a indiqué que l'attaque était le résultat d'un compte administrateur compromis, donnant à l'attaquant un accès aux jetons d'airdrop non réclamés.
L'incident a été décrit comme complètement contenu et isolé. ZKsync a souligné qu'aucun fonds utilisateur n'a été affecté à aucun moment, et l'infrastructure principale—y compris le protocole ZKsync, le contrat de token ZK, et tous les contrats liés à la gouvernance—reste entièrement sécurisée. L'attaque n'a pas affecté d'autre segment de l'écosystème en dehors du contrat de distribution de goutte.
Le portefeuille qui a été compromis a été identifié comme 0x842822c797049269A3c29464221995C56da5587D et a été trouvé pour conserver un contrôle de niveau administrateur sur trois contrats de distribution de jetons qui ont été utilisés pour distribuer des jetons ZK en tant qu'airdrop. En utilisant ce contrôle, l'attaquant a appelé la fonction Goutte, ce qui leur a permis de recevoir et de contrôler environ 111 millions de jetons ZK qui n'avaient pas encore été réclamés par les bénéficiaires éligibles.
Impact confiné au contrat de Goutte
Cet événement de frappe qui a eu lieu sans autorisation appropriée a fait en sorte que l'offre de jetons ZK en circulation a été augmentée d'environ 0,45 pour cent. Bien que cela représente une quantité relativement petite par rapport à la totalité de l'offre, cet événement est remarquable surtout en raison de ce qu'il était et de quand il a eu lieu. Les jetons en question n'étaient pas censés circuler de cette manière mais étaient plutôt destinés à la distribution par airdrop.
ZKsync a rapidement vérifié qu'il s'agit d'un incident unique et que l'ampleur complète de l'exploitation s'est déjà déroulée. Tous les tokens qui pouvaient être générés par cette méthode ont déjà été générés, et la vulnérabilité a été traitée. Il n'y a plus de menace en cours, et l'attaquant ne peut plus utiliser le même vecteur pour l'exploitation.
Il est crucial de comprendre que le protocole ZKsync, le contrat de jeton ZK, les trois contrats de gouvernance et tous les mineurs limités du programme Token n'ont pas été compromis et sont pleinement fonctionnels. Cet incident n'affecte pas les portefeuilles des utilisateurs, la sécurité du protocole ou l'intégrité des contrats de jetons.
La majorité des tokens volés sont toujours entre les mains de l'attaquant. ZKsync a commencé un processus de récupération en collaboration avec le groupe de sécurité blockchain SEAL 911 et plusieurs échanges. Ces échanges aident à surveiller, tracer et stopper les fonds volés avant qu'ils ne puissent être blanchis ou vendus. ZKsync a publiquement invité l'attaquant à les contacter à security@zksync.io pour négocier le retour des fonds volés et éviter un procès.
Bien que l'impact financier de l'incident soit relativement contenu, il amplifie des préoccupations plus larges concernant la gestion des clés privées et l'octroi de droits administratifs dans les contrats intelligents.
La façon dont l'attaquant a accédé à la clé admin compromise reste non divulguée, mais ZKsync a promis à sa communauté qu'il est désormais plus sûr, qu'une enquête interne est en cours, et que ces mesures devraient prévenir qu'un événement similaire ne se reproduise.
La communauté crypto a des sentiments partagés à propos de cette nouvelle. Les préoccupations portent sur la violation elle-même ; le soulagement vient du fait qu'il semble que cela n'ait pas eu d'impact sur les autres systèmes. ZKsync a bien fait preuve de transparence concernant ce qui s'est passé. Il est possible que grâce à cette transparence, un bon PR puisse émerger de cet événement après tout. Mais si les gens crient "avantage du recul" concernant l'accès à l'airdrop de ZKsync, alors ils s'approchent dangereusement de devenir des critiques de la transparence crypto.
La confiance dans le processus de Goutte a subi un coup à court terme, mais il semble que la sécurité et la fonctionnalité de base de la plateforme ZKsync soient intactes. La façon dont ZKsync a géré cet événement—avec une containment rapide, une communication claire et un effort qui semblait bien répété et exécuté de manière collaborative—suggère que le protocole fait ce qu'il doit faire pour justifier une foi continue dans le projet.
Divulgation : Ceci n'est pas un conseil de trading ou d'investissement. Faites toujours vos recherches avant d'acheter une cryptomonnaie ou d'investir dans des services.
Suivez-nous sur Twitter @themerklehash pour rester informé des dernières nouvelles sur la Crypto, les NFT, l'IA, la cybersécurité et le Metaverse !
Le post ZKsync confirme le piratage du compte administrateur dans le contrat Airdrop : ~5M de dollars de ZK Tokens compromis est apparu en premier sur The Merkle News.