Le pirate informatique de ZKLend perd tous les fonds sur un site de phishing imitant Tornado Cash

Le pirate informatique qui a pris 2 930 ETH du protocole ZK Lend prétend avoir perdu tous les fonds à un autre mauvais acteur. Au lieu d'envoyer les ETH à Tornado Cash, le pirate informatique prétend que tous les fonds ont été envoyés à un site de phishing.

L'adresse du pirate informatique qui a volé 2 930 ETH à ZKLend aurait été piratée en retour. Le propriétaire du portefeuille a commenté via Etherscan, affirmant que les fonds ont été perdus sur un site de phishing au lieu de Tornado Cash. Les ETH volés sont évalués à environ 5,5 millions de dollars au 1er avril.

ZKLend a été en négociation avec le pirate informatique pour récupérer la plupart des fonds en échange d'une prime de 10 %. Les adresses étaient connues et le projet communiquait activement avec l'exploiteur jusqu'à la dernière minute. À la fin, le pirate informatique a affirmé que les fonds ne sont plus dans l'adresse d'origine et ont été pris par un autre mauvais acteur. 

Le pirate informatique a communiqué de la même manière que l'équipe ZKLend – en émettant un on-chain apparemment avec zéro ETH et un message joint. 

L'équipe ZKLend a a déclaré il n'y a aucune preuve concluante que le pirate informatique a perdu le contrôle de tous les fonds. L'équipe a noté que les fonds ont été envoyés à une adresse liée à un site spoof actif depuis cinq ans. Il n'y a aucune preuve concluante reliant l'exploiteur du protocole aux propriétaires des portefeuilles du site spoof, mais les enquêteurs on-chain ont trouvé des indications que la même entité pourrait être responsable des deux piratages.

Le protocole de prêt n'a pas abandonné la traque des ETH perdus, et a inclus la nouvelle adresse d'exploitation comme cible. Le protocole ZKLend coopère avec les échanges centralisés, bien qu'il existe également des moyens décentralisés pour obscurcir les fonds. 

Les enquêteurs soupçonnent le pirate informatique d'avoir simulé la perte d'ETH

Les affirmations soudaines d'un autre piratage, suivies d'un mélange immédiat, suggèrent également que le pirate informatique pourrait être connecté au site de phishing. Dans tous les cas, les pièces ETH sont désormais presque impossibles à tracer, et le pirate informatique pourrait finir par conserver les jetons après le mélange. Les enquêteurs on-chain croient que la transaction ETH est une blague du 1er avril, car le pirate informatique n'a pas mentionné le site de phishing exact et la transaction a utilisé un autre itinéraire pour atteindre Tornado Cash. 

Selon les enquêteurs on-chain, les fonds volés ont utilisé une adresse vanité Ethereum, et n'ont pas été envoyés directement à l'un des sites spoof de Tornado Cash. 

TornadoCashDAO：
zklend再次被盗极有可能是黑客自导自演，被盗资金因手填safe-relayer.eth中继器取款，并不是因为钓鱼，黑客为同一人 https://t.co/FEd22QY9Ph

— 法希姆 (@Faith_Blo) avril 1, 2025

Tornado Cash lui-même a mis en garde contre les sites spoof potentiels, qui sont largement connus et très peu susceptibles d'être confondus par un pirate informatique Ethereum. Les enquêteurs on-chain ont remarqué que le site en question était très probablement tornadoeth.cash, au lieu de tornado.cash. 

Avant de transférer la majeure partie des ETH volés, le pirate informatique a également déplacé de plus petites sommes et a essayé de mélanger sans intermédiaire. L'équipe ZKLend a remarqué l'activité et a continué à notifier les échanges centralisés et les protocoles pour toutes les nouvelles adresses liées au piratage. 

Les fonds ZKLend peuvent-ils être suivis ?

Après le mélange, les 2 930 ETH peuvent ne pas être suivis aussi facilement. Cependant, les enquêteurs on-chain établissent un lien tentative entre le pirate informatique et le site TornadoCash spoof. 

Un enquêteur on-chain a noté que la transaction du pirate informatique est passée par une adresse vanité Ethereum, safe-relayer.eth. Cette même adresse a autrefois été codée en dur dans l'un des sites TornadoCash spoof. Les versions de code du site ont été surveillées par les enquêteurs, remarquant que safe-relayer.eth est apparu pendant une période en 2024.

Au 31 mars, l'adresse safe-relayer.eth a été supprimée du site. Cela signifie que toutes les autres transactions arnaque passent par un autre portefeuille intermédiaire. 

Cependant, le pirate informatique a toujours utilisé safe-relayer.eth, même sans être invité par le site. Cela a conduit les enquêteurs à croire que le pirate informatique voulait couvrir ses traces, et contrôlait probablement safe-relayer.eth et était l'auteur du site spoof. 

Finalement, au lieu d'obscurcir les fonds, l'exploitation de ZKLend a mis une surveillance accrue sur le site tornadoeth.cash et ses propriétaires potentiels. La tentative de couvrir les traces du pirate informatique a peut-être exposé un réseau plus large de mauvais acteurs.