zkSync (ZK) hack’lendi, 5 milyon dolar buharlaştı

Katman-2 Ethereum ölçeklendirme protokolü zkSync 15 Nisan Salı günü airdrop kampanyası esnasında akına uğradı. Saldırganlar protokole ilişkin yönetici cüzdanını hack’leyerek 5 milyon dolar bedelinde ZK token üretti ve zimmetine geçirdi.

Saldırı, zkSync’in airdrop süreçlerini yöneten akıllı kontratlardaki “sweepUnclaimed()” isimli bir fonksiyonun istismarı yoluyla gerçekleşti. Bu fonksiyon olağanda talep edilmeyen ZK token’larını geri çekmek için tasarlanmıştı. Lakin saldırgan üç farklı airdrop mukavelesinden toplamda 111 milyon ZK token basarak bu fonksiyonu suistimal etti. Bu ölçü, toplam token arzının yaklaşık yüzde 0,45’ine denk geliyor.

Olayın akabinde zkSync geliştirici takımı, güvenlik ortağı SEAL ile birlikte bir kurtarma operasyonu başlattı. Gruptan yapılan açıklamada, hücumun sırf yönetici cüzdan ile sonlu olduğu ve kullanıcı fonlarının direkt etkilenmediği belirtildi. Ayrıyeten, “sweepUnclaimed()” fonksiyonunun devre dışı bırakıldığı ve sistemin öteki bir açık barındırmadığı vurgulandı.

ZK fiyatı dakikalar içinde çakıldı

ZKsync, sıfır bilgi toplamaları ismi verilen bir teknoloji kullanarak ana katman süreçlerini toplu olarak işleyen bir Ethereum katman-2 protokolü. ZK token ise protokolün yönetişim token’ı. Akının akabinde ZK token fiyatında büyük bir volatilite yaşandı. CoinMarketCap bilgilerine nazaran, ZK token olay sonrası dakikalar içinde yüzde 18 bedel kaybederek 0,040 dolara kadar geriledi. Lakin daha sonra toparlanarak 0,047 dolar düzeylerine ulaştı. ZK token son 24 saatte yüzde 4’ün üzerinde bir düşüş yaşadı ve 0,046 dolar düzeyine ulaştı.

Bu olay, sırf zkSync özelinde değil, genel olarak Katman-2 tahlillerinde güvenliğin ne kadar kritik olduğunu bir kere daha gösterdi. Yönetici düzeyindeki erişimlerin nasıl yapılandırıldığı, airdrop sistemlerinin nasıl denetlendiği ve akıllı kontrat fonksiyonlarının berbata kullanım ihtimalleri bölüm genelinde tekrar bedellendiriliyor.

​21 Şubat 2025’te ise kripto para borsası Bybit, şimdiye kadarki en büyük kripto ataklarından birine maruz kalmıştı. Kuzey Kore temaslı Lazarus Kümesi hacker’ları, Bybit’in Ethereum soğuk cüzdan altyapısındaki güvenlik açıklarını istismar ederek yaklaşık 401.000 ETH (yaklaşık 1,5 milyar dolar) çaldı. Bybit yaptığı açıklamada, kullanıcı fonlarının inançta olduğunu ve kayıpların şirket rezervlerinden karşılanacağını belirtmişti.