zkLend stellt den Betrieb ein und räumt nach dem verheerenden Hackerangriff im Februar, bei dem 9,5 Millionen Dollar erbeutet wurden, die Niederlage ein

Das dezentrale Kreditprotokoll zkLend hat angekündigt, seine Geschäftstätigkeit einzustellen und die verbleibenden Mittel einem Entschädigungsfonds für Nutzer zuzuführen, nachdem es im Februar zu einem desaströsen Exploit in Höhe von 9,5 Millionen US-Dollar und dem darauffolgenden Verlust von Token-Liquidität gekommen war. 

Die Entscheidung, die Beitrag auf X vom zkLend-Team DeFi.

Liebe zkLend-Community,

Schweren Herzens geben wir unsere Entscheidung bekannt, zkLend einzustellen.

Diese Entscheidung ist uns nicht leichtgefallen. Der in den letzten Monaten aufgetretene Sicherheitsvorfall hat das Vertrauen der Nutzer stark beeinträchtigt, und zudem wurde ZEND kürzlich von den wichtigsten Börsen entfernt…

— zkLend (@zkLend) 25. Juni 2025

Die Liquidität versiegt und die offizielle Abwicklung beginnt

Der Exploit und die darauffolgenden Turbulenzen haben das Vertrauen in den ZEND-Token von zkLend schwer beeinträchtigt. Die großen Börsen Bybit und KuCoin haben ZEND in den letzten Wochen vom Handel ausgesetzt, was zu einem drastischen Rückgang des Handelsvolumens geführt und es Nutzern nahezu unmöglich gemacht hat, Positionen ohne erhebliche Slippage zu schließen.

Da die Token-Liquidität schwand, kamen die Entwickler von zkLend zu dem Schluss, dass es keinen praktikablen Weg mehr für die Wiedereinführung ihrer Geldmärkte gab.

In einer Mitteilung auf X erläuterten die Kernentwickler von zkLend ihre Entscheidung:

„Unter diesen Umständen sind wir der Ansicht, dass die Verwendung der verbleibenden Mittel aus unseren Kassen – 200.000 US-Dollar – zur Unterstützung betroffener Nutzer über den Wiederaufbaufonds eine verantwortungsvollere und sinnvollere Verwendung von Ressourcen darstellt als die Wiederaufnahme des Geschäftsbetriebs an unseren Geldmärkten und die Fortsetzung der Entwicklung.“

Im Protokoll wurde außerdem festgehalten, dass Benutzer über die Portale DeFi Spring und kSTRK Gelder freigeben oder Ansprüche geltend machen können.

Darüber hinaus hat das Team zeroShadow, das Blockchain-Forensikunternehmen, mit der tracnach den gestohlenen Vermögenswerten beauftragt und erklärt, dass alle im Rahmen dieser Bemühungen erzielten Gewinne dem Wiederbeschaffungsfonds zugeführt werden.

Laut zkLend wird in den kommenden Wochen die geprüfte und aktualisierte Codebasis als Open Source veröffentlicht, damit Community-Entwickler sie forken oder darauf aufbauen können.

zkLend hat sich nie von dem Hack im Februar erholt

zkLend wurde Ende 2023 offiziell im Starknet-Mainnet eingeführt und hatte zum Ziel, nicht-verwahrende Kreditvergabe und -aufnahme auf Starknet durch renditeoptimierte „Geldmärkte“ zu ermöglichen. Das Versprechen basierte auf Zero-Knowledge-Beweisen für hohen Durchsatz und niedrige Gasgebühren.

Am 11. Februar nutzte ein Angreifer jedoch eine Schwachstelle im Kreditakkumulator von zkLend über Flash-Kredite und Rundungsfehler aus und entwendete zu diesem Zeitpunkt etwa 9,5 Millionen Dollar.

Der Post-Mortem-Bericht von zkLend beschrieb detailliert, wie die Sicherheitslücke es dem Angreifer ermöglichte, den Protokollzustand aufzublähen und Einlagen in rascher Folge abzuschöpfen.

In den darauffolgenden Tagen bot zkLend dem Angreifer eine Belohnung von 10 % für die sichere Rückgabe der restlichen Gelder an. Doch der Hacker verstummte – bis zu einer unerwarteten Wendung.

Am 31. März sendete der Angreifer eine Nachricht ohne Wert an zkLendund behauptete, 2.930 ETH der gestohlenen Gelder an eine Phishing-Website verloren zu haben, die sich als Tornado Cash. In einer von Etherscan protokollierten Notiz beklagte der Angreifer:

„Hallo, ich habe versucht, Geld auf ein Tornado-Konto zu überweisen, bin aber auf eine Phishing-Website geraten und habe nun mein gesamtes Geld verloren. Ich bin am Boden zerstört und bedauere die entstandenen Unannehmlichkeiten und Verluste sehr.“

Viele Krypto-Ermittler glauben der Geschichte des Hackers nicht. Die On-Chain-Analyse ergab, dass die Transaktion einen verdächtigen Weg zu Tornado Cashnutzte.

Der Hacker nutzte eine Ethereum -Vanity-Adresse, um die gestohlenen Gelder zu transferieren. Sie wurden nicht direkt an eine der gefälschten Tornado Cash -Websites gesendet. Dass der Hacker die Phishing-Website, von der die Gelder stammten, nicht erwähnte, warf zusätzliche Fragen auf.

Die DeFi Community hat mit einer Mischung aus Sympathie, Frustration und Vorsicht reagiert.

Die betroffenen Nutzer werden künftig die forensischen Fortschritte von zeroShadow verfolgen. Die bevorstehende Open-Source-Veröffentlichung der geprüftentracvon zkLend könnte unterdessen zu Abspaltungen oder neuen Projekten führen, die die Erkenntnisse des Teams einbeziehen.