ZKsync 確認管理帳戶在空投合約中被黑客攻擊：價值約 500 萬美元的 ZK 代幣遭到泄露

ZKsync的安全漏洞與其一項空投發放合約有關，導致大約500萬美元的ZK代幣被未經授權的清空。

ZKsync安全團隊的官方聲明指出，此次攻擊是由於一個被攻破的管理員帳戶，攻擊者因此獲得了未領取的空投代幣的訪問權限。

該事件被描述爲完全被控制和隔離。ZKsync 強調，在任何時候都沒有用戶資金受到影響，核心基礎設施——包括 ZKsync 協議、ZK 代幣合約以及所有治理相關合約——仍然完全安全。此次攻擊並未影響生態系統中除了空投發放合約以外的任何其他部分。

被攻破的錢包已被確認是0x842822c797049269A3c29464221995C56da5587D，發現其對三個用於發放ZK代幣的代幣發放合約保留了管理員級別的控制權，這些合約用於空投ZK代幣。利用這一控制，攻擊者調用了sweep函數，使他們能夠接收和控制大約1.11億個尚未被合格接收者認領的ZK代幣。

影響僅限於空投合約

此次未經適當授權的鑄造事件導致流通中的ZK代幣供應量增加了約0.45%。盡管與總供應量相比，這個數字相對較小，但這一事件特別引人注目，尤其是考慮到它的性質和發生的時間。相關代幣並不是要以這種方式流通，而是注定要進行空投發放。

ZKsync迅速確認這是一次性事件，利用漏洞的全部程度已經顯現。通過這種方法可以生成的所有代幣已經生成，漏洞也已處理。目前沒有持續的威脅，攻擊者無法再利用同樣的方式進行攻擊。

必須理解的是，ZKsync協議、ZK代幣合約、所有三個治理合約以及所有Token Program限制鑄造者都沒有被攻破，且完全正常運作。此事件不影響用戶錢包、協議安全或代幣合約的完整性。

大部分被盜代幣仍然在攻擊者手中。ZKsync已與區塊鏈安全組織SEAL 911及多個交易所合作，開始恢復過程。這些交易所幫助監控、追蹤並阻止被盜資金在洗錢或出售之前。ZKsync已公開邀請攻擊者通過security@zksync.io與他們聯系，以協商歸還被盜資金，避免訴訟。

雖然事件的財務影響相對有限，但它加劇了人們對管理私鑰和在智能合約中授予管理權限的更廣泛擔憂。

攻擊者如何訪問被泄露的管理員密鑰仍然沒有公開，但ZKsync已向其社區承諾，現在更加安全，內部調查正在進行中，並且這些措施應該能夠防止類似事件再次發生。

加密社區對這一消息的反應不一。人們的擔憂集中在泄露事件本身；而寬慰來自於似乎沒有影響到其他系統的事實。ZKsync 在透明度方面做得很好，清楚地說明了發生了什麼。很可能由於這種透明度，最終可能會從這一事件中獲得一些良好的公關。但如果人們對 ZKsync 的空投訪問大喊“事後諸葛亮”，那麼他們就危險地接近成爲對加密透明度的批評者。

空投過程中的信任在短期內受到了影響，但ZKsync平台的核心安全性和功能似乎是完好無損的。ZKsync處理此次事件的方式——迅速控制、清晰溝通，以及看似經過充分排練和協作執行的努力——表明該協議正在做必要的事情，以證明繼續對該項目的信任是合理的。

免責聲明：這不是交易或投資建議。在購買任何加密貨幣或投資任何服務之前，請務必進行研究。

關注我們的Twitter @themerklehash，獲取最新的加密貨幣、NFT、人工智能、網絡安全和元宇宙新聞！

ZKsync 確認空投合約中管理員帳戶被黑客攻擊：約 500 萬美元的 ZK 代幣被泄露，首次出現在 The Merkle News。