zkLend met la clé sous la porte, concédant sa défaite après le hack dévastateur de 9,5 millions de dollars en février
- zkLend a annoncé sa cessation d'activité suite à une faille de sécurité grave ayant conduit au retrait des jetons sur les principales plateformes centralisées (CEX).
- Le piratage de février a vidé environ 9,5 millions de dollars via des vulnérabilités du contrat intelligent, le pirate ayant allégué avoir perdu 5,4 millions de dollars de ce butin dans un scam de phishing.
- L'équipe allouera les 200 000 dollars restants de sa trésorerie au fonds de récupération ; le code source sera open-sourcé.
Le protocole de prêt décentralisé zkLend a annoncé qu'il mettrait fin à ses opérations et consacrerait son trésor restant à un fonds de récupération pour les utilisateurs, après un exploit désastreux de 9,5 millions de dollars en février et la perte subséquente de liquidité des tokens.
La décision, partagée dans un post sur X par l'équipe de zkLend, marque la fin de la brève existence du protocole basé sur Starknet dans la DeFi.
Chère communauté zkLend,
C'est le cœur lourd que nous annonçons notre décision de mettre fin à zkLend.
Cette décision n'a pas été prise à la légère. Au cours des derniers mois, l'exploit que nous avons subi a profondément érodé la confiance des utilisateurs, et de plus, le récent retrait du ZEND des principales bourses…
— zkLend (@zkLend) juin 25, 2025
Les liquidités s'assèchent et annonce de la liquidation
L'exploit et les drames qui ont suivi ont sérieusement impacté la confiance dans le token ZEND de zkLend. Les principales bourses Bybit et KuCoin ont retiré le ZEND de leurs plateformes ces dernières semaines, réduisant considérablement le volume de trading et rendant presque impossible pour les utilisateurs de sortir de leurs positions sans une forte slippage.
Avec la disparition des liquidités des tokens, les développeurs de zkLend ont conclu qu'il n'existait aucune voie viable pour relancer leurs marchés monétaires.
Dans une annonce sur X, les contributeurs principaux de zkLend ont détaillé leur décision :
« Compte tenu de ces circonstances, nous estimons qu'utiliser le reste de notre trésorerie – 200 000 dollars – pour soutenir les utilisateurs affectés via le fonds de récupération est une utilisation des ressources plus responsable et significative que de relancer nos marchés monétaires et de poursuivre le développement. »
Le protocole a également indiqué que les utilisateurs peuvent retirer leurs fonds ou déposer des réclamations via les portails DeFi Spring et kSTRK.
De plus, l'équipe a conservé les services de zeroShadow, le cabinet de forensic blockchain qui travaille à retracer les actifs volés, et a déclaré que tout recouvrement issu de cet effort serait restitué au fonds de récupération.
Selon zkLend, dans les semaines à venir, sa base de code audité et actualisée sera publiée en open source pour que les développeurs de la communauté puissent la forker ou s'en inspirer.
zkLend ne s'est jamais remis du hack de février
Lancé officiellement sur le mainnet Starknet à la fin de 2023, zkLend visait à offrir du prêt et de l'emprunt non custodial sur Starknet via des « marchés monétaires » optimisés en rendement. Sa promesse reposait sur les preuves à divulgation nulle de connaissance pour un débit élevé et des frais de gaz faibles.
Mais le 11 février, un attaquant a exploité une faille dans l'accumulateur de prêt de zkLend via des prêts flash et des erreurs d'arrondi, détournant environ 9,5 millions de dollars à l'époque.
Le post-mortem de zkLend a détaillé comment la vulnérabilité a permis à l'attaquant d'infler l'état du protocole et de vider les dépôts en succession rapide.
Dans les jours qui ont suivi, zkLend a offert à l'attaquant une prime de 10 % en échange du retour sûr des fonds restants. Mais le hacker est resté silencieux jusqu'à un twist inattendu.
Le 31 mars, l'attaquant a envoyé un message on-chain de valeur nulle à zkLend, affirmant avoir perdu 2 930 ETH des fonds volés sur un site de phishing imitant Tornado Cash. Dans une note enregistrée sur Etherscan, l'exploitant a déploré :
« Bonjour, j'ai essayé de transférer des fonds vers un Tornado, mais j'ai utilisé un site de phishing et tous les fonds ont été perdus. Je suis dévasté et désolé pour le chaos et les pertes causés. »
De nombreux enquêteurs crypto ne croient pas à l'histoire du hacker. L'analyse on-chain a révélé que la transaction a utilisé une route plus douteuse pour atteindre Tornado Cash.
Le hacker a utilisé une adresse Ethereum vaniteuse pour transférer les fonds volés, et ils n'ont pas été envoyés directement sur l'un des sites spoof de Tornado Cash. De plus, le fait que le hacker n'ait pas mentionné le site de phishing qui a pris les fonds a soulevé des soupçons.
La communauté DeFi a réagi avec un mélange de sympathie, de frustration et de prudence.
Pour l'avenir, les utilisateurs affectés surveilleront les progrès forensiques de zeroShadow. Pendant ce temps, la publication prochaine en open source des contrats audités de zkLend pourrait donner naissance à des forks ou à de nouveaux projets intégrant les leçons de l'équipe.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
