En juin 2024, ZKsync, un layer-2 tant attendu, a effectué le lancement de son jeton ZK. Ce lancement a été accompagné d’un airdrop communautaire distribuant les jetons aux utilisateurs. Malheureusement, un incident de sécurité récent a permis à un hacker de s’approprier des millions de jetons non réclamés durant cet airdrop. Revenons sur cette situation.
- ZKsync a été victime d’un hack majeur, se traduisant par le vol de 5 millions de dollars en jetons ZK non réclamés.
- Malgré l’accès à un compte administrateur, les fonds des utilisateurs sont restés sécurisés, le hacker ayant seulement pu accéder au contrat de distribution.
Incident chez ZKsync : 5 millions de dollars en jetons ZK volés
Le 15 avril, l’équipe de ZKsync a annoncé qu’ils avaient été victimes d’un hack.
Selon les détails partagés sur X, le hacker a accédé au compte admin du protocole, ce qui lui a permis de mettre la main sur les jetons ZK non réclamés lors de l’airdrop.
Au total, le hacker a pu récupérer 111 millions de jetons ZK, une somme estimée à 5 millions de dollars à l’heure actuelle.
« L’équipe de sécurité de ZKsync a identifié un compte administrateur compromis qui a appréhendé environ 5 millions de dollars de tokens ZK – les tokens restés non réclamés de l’airdrop de ZKsync. Des mesures de sécurité sont actuellement mises en place. »
Il est important de noter que, selon les déclarations de ZKsync, les fonds des utilisateurs n’ont jamais été compromis durant l’attaque. La clé compromise était uniquement liée au contrat de distribution des jetons ZK.
Le hacker agit rapidement pour vendre son butin
En réalité, le hacker a mené son attaque le 13 avril en appelant la fonction sweepUnclaimed sur les contrats impliqués dans l’airdrop de ZKsync, récupérant ainsi un total de 111 millions de jetons ZK.
Après cette attaque, le hacker a commencé à vendre les jetons volés, revendant plus de 67 millions de jetons ZK contre de l’ETH, surtout via KyerSwap.
À ce jour, il possède 1 021 ETH et 44,6 millions de jetons ZK sur ZKsync et a retiré plus de 1 100 ETH sur Ethereum. Certaines de ces ventes ont causé une chute du prix du ZK, passant de 0,056 à 0,05 $.
Depuis lors, le hacker a continué à revendre ses jetons, la dernière vente datant d’une vingtaine d’heures.
De plus, l’annonce de ZKsync a entraîné un nouveau déclin du prix, qui est passé de 0,047 à 0,043 $ dans l’heure suivant la publication.
Les équipes de ZKsync travaillent avec plusieurs plateformes d’échange et Security Alliance pour tenter de récupérer les fonds. Le hacker a également été invité à contacter ZKsync pour discuter de la restitution des fonds.
Malheureusement, cette affaire n’est pas un cas isolé. Une étude récente de Chainalysis révèle que les compromissions de clés représentent 43,8% des vols crypto en 2024, devenant ainsi la principale méthode d’attaque dans le secteur.
