L'hacker di ZKLend perde tutti i fondi in un sito di phishing che imita Tornado Cash

L'hacker che ha preso 2.930 ETH dal protocollo ZK Lend afferma di aver perso tutti i fondi a causa di un altro cattivo giocatore. Invece di inviare gli ETH a Tornado Cash, l'hacker afferma che tutti i fondi sono stati inviati a un sito di phishing.

L'indirizzo dell'hacker che ha rubato 2.930 ETH da ZKLend è stato presumibilmente hackerato a sua volta. Il proprietario del portafoglio ha commentato tramite Etherscan, affermando che i fondi sono stati persi a causa di un sito di phishing invece che di Tornado Cash. Gli ETH rubati sono valutati intorno a 5,5 milioni di dollari al 1 aprile.

ZKLend è stato in trattativa con l'hacker per recuperare la maggior parte dei fondi in cambio di un compenso del 10%. Gli indirizzi erano noti e il progetto comunicava attivamente con l'exploiter fino all'ultimo momento. Alla fine, l'hacker ha affermato che i fondi non si trovano più nell'indirizzo originale e sono stati presi da un altro cattivo attore. 

L'hacker ha comunicato nello stesso modo del team di ZKLend – emettendo un on-chain transazione con zero ETH e un messaggio allegato. 

Il team di ZKLend ha ha dichiarato non ci sono prove conclusive che l'hacker abbia perso il controllo di tutti i fondi. Il team ha notato che i fondi sono stati inviati a un indirizzo collegato a un sito spoof che è attivo da cinque anni. Non ci sono prove conclusive che colleghino l'exploiter del protocollo ai proprietari dei portafogli del sito spoof, ma gli investigatori on-chain hanno trovato indicazioni che la stessa entità potrebbe essere responsabile di entrambi gli hack.

Il protocollo di lending non ha rinunciato a rintracciare gli ETH persi e ha incluso il nuovo indirizzo di exploit come obiettivo. Il protocollo ZKLend collabora con gli exchange centralizzati, sebbene esistano anche modi decentralizzati per oscurare i fondi. 

Gli investigatori sospettano che l'hacker abbia simulato la perdita di ETH

Le affermazioni improvvise di un altro exploit, seguite da un immediato mixing, suggeriscono anche che l'hacker potrebbe essere collegato al sito di phishing. In ogni caso, le monete ETH sono ora quasi impossibili da tracciare e l'hacker potrebbe finire per trattenere i token dopo il mixing. Gli investigatori on-chain credono che la transazione ETH sia uno scherzo di Pasca di Aprile all'inizio di aprile, poiché l'hacker non ha menzionato il sito di phishing esatto e la transazione ha utilizzato un'altra rotta per raggiungere Tornado Cash. 

Secondo gli investigatori on-chain, i fondi rubati hanno utilizzato un indirizzo vanità Ethereum e non sono stati inviati direttamente a uno dei siti spoof di Tornado Cash. 

TornadoCashDAO：
zklend再次被盗极有可能是黑客自导自演，被盗资金因手填safe-relayer.eth中继器取款，并不是因为钓鱼，黑客为同一人 https://t.co/FEd22QY9Ph

— 法希姆 (@Faith_Blo) April 1, 2025

Lo stesso Tornado Cash ha avvertito di possibili siti spoof, che sono ampiamente noti e altamente improbabili che vengano confusi da un hacker Ethereum. Gli investigatori on-chain hanno notato che il sito in questione era probabilmente tornadoeth.cash, invece di tornado.cash. 

Prima di trasferire la maggior parte degli ETH rubati, l'hacker ha anche spostato somme più piccole e ha provato a fare mixing senza intermediari. Il team di ZKLend ha notato l'attività e ha continuato a notificare gli exchange centralizzati e i protocolli per tutti i nuovi indirizzi legati all'hack. 

È possibile tracciare i fondi di ZKLend?

Dopo il mixing, i 2.930 ETH potrebbero non essere tracciati con la stessa facilità. Tuttavia, gli investigatori on-chain stanno stabilendo un collegamento provvisorio tra l'hacker e il sito TornadoCash spoof. 

Un investigatore on-chain ha notato che la transazione dell'hacker è passata attraverso un indirizzo vanità Ethereum, safe-relayer.eth. Lo stesso indirizzo era una volta hard-coded in uno dei siti TornadoCash spoof. Le versioni del codice del sito sono state monitorate dagli investigatori, notando che safe-relayer.eth è apparso per un periodo di tempo nel 2024.

Al 31 marzo, l'indirizzo safe-relayer.eth è stato rimosso dal sito. Questo significa che tutte le altre transazioni di truffa passano attraverso un altro portafoglio intermediario. 

Tuttavia, l'hacker ha ancora utilizzato safe-relayer.eth, anche senza essere sollecitato dal sito. Questo ha portato gli investigatori a credere che l'hacker volesse coprire le sue tracce e probabilmente controllasse safe-relayer.eth e fosse l'autore del sito spoof. 

Alla fine, invece di oscurare i fondi, l'exploit di ZKLend ha messo sotto maggiore scrutinio il sito tornadoeth.cash e i suoi potenziali proprietari. Il tentativo di coprire le tracce dell'hacker potrebbe aver esposto una rete più ampia di cattivi attori.