zkLend si arrende, ammettendo la sconfitta dopo il devastante hack da 9,5 milioni di dollari di febbraio
- zkLend ha annunciato la chiusura delle operazioni a seguito di una grave violazione che ha portato alla delist dei token dalle principali CEX.
- L'attacco di febbraio ha drenato circa 9,5 milioni di dollari sfruttando vulnerabilità negli smart contract; si sostiene che l'hacker abbia perso 5,4 milioni di quel bottino a causa di un phishing.
- Il team destinerà i restanti 200.000 dollari del tesoreria al fondo di recupero; il codice sarà open-sourced.
Il protocollo di prestito decentralizzato zkLend ha annunciato che chiuderà le operazioni e devoterà il suo tesoro rimanente a un fondo di recupero per gli utenti dopo un disastroso exploit da 9,5 milioni di dollari a febbraio e la successiva perdita di liquidità dei token.
La decisione, condivisa in un post su X dal team di zkLend, segna la fine della breve corsa del protocollo basato su Starknet nel DeFi.
Gentile Comunità di zkLend,
Con grande dispiacere annunciamo la nostra decisione di chiudere zkLend.
Questa decisione non è stata presa alla leggera. Negli ultimi mesi, l'exploit che abbiamo subito ha profondamente eroso la fiducia degli utenti, e inoltre, la recente rimozione di ZEND dai principali exchange...
— zkLend (@zkLend) Giugno 25, 2025
La liquidità si prosciuga e la chiusura ufficiale
L'exploit e il conseguente dramma hanno colpito seriamente la fiducia nel token ZEND di zkLend. I principali exchange Bybit e KuCoin hanno delistato ZEND nelle ultime settimane, riducendo drasticamente il volume di trading e rendendo quasi impossibile per gli utenti uscire dalle posizioni senza una forte slippage.
Con la liquidità dei token scomparsa, gli sviluppatori di zkLend hanno concluso che non c'era un percorso viable per il rilancio dei loro mercati monetari.
In un annuncio su X, i contributori principali di zkLend hanno delineato la loro decisione:
"Date queste circostanze, crediamo che utilizzare il resto del nostro tesoro—200.000 dollari—per supportare gli utenti colpiti attraverso il fondo di recupero sia un uso più responsabile e significativo delle risorse rispetto al rilancio dei nostri mercati monetari e al proseguimento dello sviluppo."
Il protocollo ha anche dichiarato che gli utenti possono staccare i fondi o presentare reclami tramite i portali DeFi Spring e kSTRK.
Inoltre, il team ha mantenuto i servizi di zeroShadow, la società di forensics blockchain che sta lavorando per rintracciare le attività rubate, e ha dichiarato che qualsiasi recupero da questo sforzo sarà restituito al fondo di recupero.
Secondo zkLend, nelle prossime settimane, il suo codice base auditato e aggiornato sarà rilasciato come open source per gli sviluppatori della comunità per forkarlo o costruirvi sopra.
zkLend non si è mai ripresa dall'hack di febbraio
Lanciato ufficialmente su Starknet mainnet alla fine del 2023, zkLend mirava a fornire prestiti e prestiti non custodial su Starknet attraverso "mercati monetari" ottimizzati per il rendimento. La sua promessa si basava su prove a conoscenza zero per un'alta throughput e basse commissioni di gas.
Ma il 11 febbraio, un attaccante ha sfruttato una vulnerabilità nell'accumulatore di prestiti di zkLend tramite flash loan ed errori di arrotondamento, sottraendo circa 9,5 milioni di dollari al momento.
Il post-mortem di zkLend ha dettagliato come la vulnerabilità abbia permesso all'attaccante di gonfiare lo stato del protocollo e drenare i depositi in rapida successione.
Nei giorni successivi, zkLend ha offerto all'exploiter un compenso del 10% in cambio del ritorno sicuro dei fondi rimanenti. Ma l'hacker è rimasto in silenzio fino a un colpo di scena inaspettato.
Il 31 marzo, l'attaccante ha inviato un messaggio on-chain a valore zero a zkLend, affermando di aver perso 2.930 ETH dei fondi rubati a un sito web di phishing che impersonava Tornado Cash. In una nota registrata su Etherscan, l'exploiter ha lamentato:
«Ciao, ho provato a spostare i fondi su Tornado, ma ho utilizzato un sito web di phishing e tutti i fondi sono andati persi. Sono devastato e mi scuso per il caos e le perdite causate.»
Molti investigatori crypto non credono alla versione dell'hacker. L'analisi on-chain ha rivelato che la transazione ha utilizzato un percorso più sospetto per arrivare a Tornado Cash.
L'hacker ha utilizzato un indirizzo Ethereum vanity per spostare i fondi rubati, che non sono stati inviati direttamente a uno dei siti spoof di Tornado Cash. Inoltre, il fatto che l'hacker non abbia menzionato il sito web di phishing che ha sottratto i fondi ha sollevato ulteriori sospetti.
La comunità DeFi ha risposto con un misto di simpatia, frustrazione e cautela.
Guardando al futuro, gli utenti interessati monitoreranno i progressi forensi di zeroShadow. Nel frattempo, la prossima pubblicazione open-source dei contratti auditati di zkLend potrebbe dare origine a fork o nuovi progetti che incorporano le lezioni del team.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi un decennio di esperienza nella scrittura di blog e nella copertura di eventi nel settore delle criptovalute. Presso Cryptopolitan, Hannah contribuisce alla pagina delle notizie, riportando e analizzando gli ultimi sviluppi nei settori DeFi, RWA, regolamentazione crypto, intelligenza artificiale e tecnologie emergenti. Si è laureata all'Arcadia University con una laurea in Amministrazione Aziendale.
