zkSync (ZK) hack’lendi, 5 milyon dolar buharlaştı

Katman-2 Ethereum ölçeklendirme protokolü zkSync 15 Nisan Salı günü airdrop kampanyası esnasında taarruza uğradı. Saldırganlar protokole ilişkin yönetici cüzdanını hack’leyerek 5 milyon dolar kıymetinde ZK token üretti ve zimmetine geçirdi.

Saldırı, zkSync’in airdrop süreçlerini yöneten akıllı kontratlardaki “sweepUnclaimed()” isimli bir fonksiyonun istismarı yoluyla gerçekleşti. Bu fonksiyon olağanda talep edilmeyen ZK token’larını geri çekmek için tasarlanmıştı. Fakat saldırgan üç farklı airdrop kontratından toplamda 111 milyon ZK token basarak bu fonksiyonu suistimal etti. Bu ölçü, toplam token arzının yaklaşık yüzde 0,45’ine denk geliyor.

Olayın akabinde zkSync geliştirici grubu, güvenlik ortağı SEAL ile birlikte bir kurtarma operasyonu başlattı. Gruptan yapılan açıklamada, taarruzun sadece yönetici cüzdan ile sonlu olduğu ve kullanıcı fonlarının direkt etkilenmediği belirtildi. Ayrıyeten, “sweepUnclaimed()” fonksiyonunun devre dışı bırakıldığı ve sistemin öbür bir açık barındırmadığı vurgulandı.

ZK fiyatı dakikalar içinde çakıldı

ZKsync, sıfır bilgi toplamaları ismi verilen bir teknoloji kullanarak ana katman süreçlerini toplu olarak işleyen bir Ethereum katman-2 protokolü. ZK token ise protokolün yönetişim token’ı. Akının akabinde ZK token fiyatında büyük bir volatilite yaşandı. CoinMarketCap datalarına nazaran, ZK token olay sonrası dakikalar içinde yüzde 18 bedel kaybederek 0,040 dolara kadar geriledi. Lakin daha sonra toparlanarak 0,047 dolar düzeylerine ulaştı. ZK token son 24 saatte yüzde 4’ün üzerinde bir düşüş yaşadı ve 0,046 dolar düzeyine ulaştı.

Bu olay, sırf zkSync özelinde değil, genel olarak Katman-2 tahlillerinde güvenliğin ne kadar kritik olduğunu bir kere daha gösterdi. Yönetici düzeyindeki erişimlerin nasıl yapılandırıldığı, airdrop sistemlerinin nasıl denetlendiği ve akıllı mukavele fonksiyonlarının berbata kullanım ihtimalleri kesim genelinde tekrar bedellendiriliyor.

​21 Şubat 2025’te ise kripto para borsası Bybit, şimdiye kadarki en büyük kripto akınlarından birine maruz kalmıştı. Kuzey Kore ilişkili Lazarus Kümesi hacker’ları, Bybit’in Ethereum soğuk cüzdan altyapısındaki güvenlik açıklarını istismar ederek yaklaşık 401.000 ETH (yaklaşık 1,5 milyar dolar) çaldı. Bybit yaptığı açıklamada, kullanıcı fonlarının inançta olduğunu ve kayıpların şirket rezervlerinden karşılanacağını belirtmişti.