مختار ZKLend يفقد جميع أمواله لموقع تصيد يحاكي Tornado Cash

المخترق الذي سرق 2,930 إيثيريوم من بروتوكول ZK Lend يدعي أنه فقد جميع الأموال لصالح لاعب سيء آخر. وبدلاً من إرسال الإيثيريوم إلى Tornado Cash، يزعم المخترق أن جميع الأموال أُرسلت إلى موقع تصيّد.

عنوان المخترق الذي سرق 2,930 إيثيريوم من ZKLend زُعم أنه تعرض للاختراق بدوره. علّق مالك المحفظة عبر Etherscan، مدعياً أن الأموال فُقدت في موقع تصيّد بدلاً من Tornado Cash. وتُقدّر قيمة الإيثيريوم المسروق بنحو 5.5 مليون دولار اعتباراً من 1 أبريل.

لقد كان ZKLend تتفاوض متعاوناً مع المخترع لاستعادة معظم الأموال مقابل مكافأة بنسبة 10%. كانت العناوين معروفة وكان المشروع يتواصل بنشاط مع المستغل حتى اللحظة الأخيرة. وفي النهاية، زعم المخترع أن الأموال لم تعد موجودة في العنوان الأصلي، وقد سُرقت من قبل فاعل سيء آخر. 

تواصل المخترع بنفس الطريقة التي تواصل بها فريق ZKLend - من خلال إصدار رسالة على السلسلة المعاملة بصفر إيثيريوم ورسالة مرفقة. 

فريق ZKLend أوضحت لا توجد أدلة قاطعة على أن المخترق فقد السيطرة على جميع الأموال. وأشار الفريق إلى أن الأموال أُرسلت إلى عنوان مرتبط بموقع مزيف كان نشطاً لمدة خمس سنوات. لا توجد أدلة قاطعة تربط مستغل البروتوكول بمالكي محافظ الموقع المزيف، لكن المحققين على السلسلة وجدوا مؤشرات على أن الكيان نفسه قد يكون مسؤولاً عن كلا الاختراقين.

لم يتخلَّ بروتوكول الإقراض عن تتبع الإيثيريوم المفقود، وأدرج عنوان الاستغلال الجديد كهدف. يتعاون بروتوكول ZKLend مع البورصات المركزية، رغم وجود طرق لامركزية لإخفاء الأموال. 

يشك المحققون في أن المخترق زيف فقدان الإيثيريوم

كما أن الادعاءات المفاجئة باختراق آخر، تليها عملية خلط فورية، تشير أيضاً إلى أن المخترق قد يكون مرتبطاً بموقع التصيّد. في أي حال، أصبحت عملات الإيثيريوم الآن شبه مستحيلة التتبع، وقد ينتهي الأمر بالمخترق بالاحتفاظ بالرموز بعد الخلط. يعتقد المحققون على السلسلة أن معاملة الإيثيريوم كانت مزحة يوم كذبة أبريل، حيث لم يذكر المخترق موقع التصيّد المحدد واستخدم المعاملة مساراً آخر للوصول إلى Tornado Cash. 

وفقاً للمحققين على السلسلة، استخدمت الأموال المسروقة عنوان إيثيريوم مخصصاً (vanity address)، ولم تُرسل مباشرة إلى أحد مواقع Tornado Cash المزيفة. 

TornadoCashDAO：
من المرجح جداً أن سرقة ZKLend الثانية كانت من صنع المخترق نفسه، حيث سحبت الأموال المسروقة عبر وسيط safe-relayer.eth المملوء يدوياً، وليس بسبب التصيّد، والمخترق هو الشخص نفسه. https://t.co/FEd22QY9Ph

— فاهيم (@Faith_Blo) أبريل 1، 2025

حذرت Tornado Cash نفسها من المواقع المزيفة المحتملة، وهي معروفة على نطاق واسع ومن غير المرجح جداً أن يخطئ فيها مخترق إيثيريوم. لاحظ المحققون على السلسلة أن الموقع المعني كان على الأرجح tornadoeth.cash، بدلاً من tornado.cash. 

قبل نقل الجزء الأكبر من الإيثيريوم المسروق، نقل المخترع أيضاً مبالغ صغيرة وحاول الخلط دون وسيط. لاحظ فريق ZKLend النشاط واستمر في إبلاغ البورصات المركزية والبروتوكولات بجميع العناوين الجديدة المتعلقة بالاختراق. 

هل يمكن تتبع أموال ZKLend؟

بعد الخلط، قد لا يمكن تتبع 2,930 إيثيريوم بسهولة. ومع ذلك، يقوم المحققون على السلسلة بربط مؤقت بين المخترع وموقع TornadoCash المزيف. 

لاحظ محقق على السلسلة أن معاملة المخترع مرت عبر عنوان إيثيريوم مخصص (vanity address)، safe-relayer.eth. كان هذا العنوان نفسه مبرمجاً بشكل ثابت في أحد مواقع TornadoCash المزيفة. راقب المحققون إصدارات كود الموقع، ولاحظوا أن safe-relayer.eth ظهر لفترة من الوقت في عام 2024.

اعتباراً من 31 مارس، تم إزالة عنوان safe-relayer.eth من الموقع. هذا يعني أن جميع المعاملات الاحتيالية تمر عبر محفظة وسيطة أخرى. 

ومع ذلك، لا يزال المخترع يستخدم safe-relayer.eth، حتى دون مطالبة الموقع بذلك. هذا دفع المحققين إلى الاعتقاد بأن المخترع أراد تغطية آثاره، وكان على الأرجح يتحكم في safe-relayer.eth ومؤلف الموقع المزيف. 

في النهاية، بدلاً من إخفاء الأموال، وضع اختراق ZKLend مزيداً من التدقيق على موقع tornadoeth.cash ومالكيه المحتملين. قد تكون محاولة تغطية آثار المخترع قد كشفت عن شبكة أوسع من الفاعلين السيئين.