El hacker de ZKLend pierde todos los fondos en un sitio de phishing que suplanta a Tornado Cash

El hacker que robó 2.930 ETH del protocolo ZK Lend afirma haber perdido todos los fondos ante otro actor malicioso. En lugar de enviar los ETH a Tornado Cash, el hacker afirma que todos los fondos fueron enviados a un sitio web de phishing.

Se alega que la dirección del hacker que robó 2.930 ETH de ZKLend fue hackeada a su vez. El propietario de la billetera comentó a través de Etherscan, afirmando que los fondos se perdieron en un sitio de phishing en lugar de Tornado Cash. Los ETH robados tienen un valor de aproximadamente 5,5 millones de dólares al 1 de abril.

ZKLend ha estado negociando con el hacker para recuperar la mayor parte de los fondos a cambio de un bono del 10 %. Las direcciones eran conocidas y el proyecto se comunicaba activamente con el explotador hasta el último momento. Al final, el hacker afirmó que los fondos ya no están en la dirección original y han sido tomados por otro actor malicioso. 

El hacker se comunicó de la misma manera que el equipo de ZKLend: emitiendo un transacción con cero ETH y un mensaje adjunto. 

El equipo de ZKLend ha declaró no hay pruebas concluyentes de que el hacker haya perdido el control de todos los fondos. El equipo señaló que los fondos fueron enviados a una dirección vinculada a un sitio suplente que ha estado activo durante cinco años. No hay pruebas concluyentes que vinculen al explotador del protocolo con los propietarios de las billeteras del sitio suplente, pero los investigadores de cadena han encontrado indicios de que la misma entidad podría ser responsable de ambos hackeos.

El protocolo de préstamos no ha renunciado a rastrear los ETH perdidos y ha incluido la nueva dirección de explotación como objetivo. El protocolo ZKLend coopera con los exchanges centralizados, aunque también existen formas descentralizadas de ocultar los fondos. 

Los investigadores sospechan que el hacker falsificó la pérdida de ETH

Las afirmaciones repentinas de otra explotación, seguidas de un mezclado inmediato, también sugieren que el hacker podría estar conectado con el sitio de phishing. En cualquier caso, las monedas ETH ahora son casi imposibles de rastrear, y el hacker podría terminar reteniendo los tokens después del mezclado. Los investigadores de cadena creen que la transacción de ETH es una broma de los Inocentes de principios de abril, ya que el hacker no mencionó el sitio de phishing exacto y la transacción utilizó otra ruta para llegar a Tornado Cash. 

Según los investigadores de cadena, los fondos robados utilizaron una dirección vanidad de Ethereum y no se enviaron directamente a uno de los sitios suplentes de Tornado Cash. 

TornadoCashDAO：
zklend再次被盗极有可能是黑客自导自演，被盗资金因手填safe-relayer.eth中继器取款，并不是因为钓鱼，黑客为同一人 https://t.co/FEd22QY9Ph

— 法希姆 (@Faith_Blo) April 1, 2025

El propio Tornado Cash ha advertido sobre la existencia de sitios suplentes potenciales, que son ampliamente conocidos y es muy improbable que un hacker de Ethereum los confunda. Los investigadores de cadena notaron que el sitio en cuestión era probablemente tornadoeth.cash, en lugar de tornado.cash. 

Antes de transferir la mayor parte de los ETH robados, el hacker también movió sumas más pequeñas e intentó mezclar sin intermediario. El equipo de ZKLend notó la actividad y continuó notificando a los exchanges centralizados y protocolos sobre todas las nuevas direcciones relacionadas con el hackeo. 

¿Se pueden rastrear los fondos de ZKLend?

Después del mezclado, los 2.930 ETH pueden no rastrearse con tanta facilidad. Sin embargo, los investigadores de cadena están estableciendo un vínculo tentativo entre el hacker y el sitio suplente de TornadoCash. 

Un investigador de cadena señaló que la transacción del hacker pasó por una dirección vanidad de Ethereum, safe-relayer.eth. Esa misma dirección estaba una vez codificada en uno de los sitios suplentes de TornadoCash. Las versiones del código del sitio fueron monitoreadas por los investigadores, quienes notaron que safe-relayer.eth apareció durante un período de tiempo en 2024.

A partir del 31 de marzo, la dirección safe-relayer.eth ha sido eliminada del sitio. Esto significa que todas las demás transacciones estafas pasan a través de otra billetera intermediaria. 

Sin embargo, el hacker aún utilizó safe-relayer.eth, incluso sin ser solicitado por el sitio. Esto llevó a los investigadores a creer que el hacker quería cubrir sus huellas y probablemente tenía el control de safe-relayer.eth y era el autor del sitio suplente. 

Al final, en lugar de ocultar los fondos, la explotación de ZKLend puso un escrutinio adicional en el sitio tornadoeth.cash y sus posibles propietarios. El intento de cubrir las huellas del hacker puede haber expuesto una red más amplia de actores maliciosos.