ZKSync 해커가 10% 보너스를 받고 5M 토큰을 반환하다

ZKSync은 ZK 토큰 에어드롭 계약에서 거의 500만 달러를 유출한 해커가 프로젝트의 72시간 ‘세이프 하버’ 기간 내에 모든 돈을 반환했다고 확인했습니다.

“해커가 협력하여 세이프 하버(safe harbor) 마감일 내에 자금을 반환했다는 점을 공유하게 되어 기쁩니다.”라고 ZKSync은 X(구 트위터)에 게시했습니다. “이제 이 사건은 해결된 것으로 간주됩니다.”

약 4,460만 개의 ZK 토큰과 약 1,800 ETH가 ZKSync 보안 위원회로 이전되었으며, 위원회는 거버넌스를 통해 자산을 어떻게 재분배할지 결정할 예정입니다.

공격자는 에어드롭 결함을 악용하여 토큰을 mint했습니다.

이 환불은 이번 주 초에 발생하여 에어드롭 계약과 연결된 침해된 개인 키를 악용해 공격자가 추가 토큰을 mint(생성)하고 미청구 자금을 가로챈 익스플로잇(exploit) 사건을 마무리합니다.

범인은 자금을 이더리움(ETH)과 ZKSync의 레이어 2 네트워크 간에 이체했습니다.

이 취약점은 광범위한 프로토콜 인프라, ZK 토큰 계약 또는 거버넌스 운영에는 영향을 미치지 않았습니다.

공격자는 정상적인 할당 프로세스를 우회하여 네트워크의 초기 분배 라운드에서 미청구 토큰을 가져갔습니다. 온체인 데이터는 이후 공격자가 훔친 350만 달러 상당의 ZK 토큰을 이더리움으로 교환했음을 밝혔습니다.

ZKSync은 이 사건이 고객 자금이나 핵심 인프라를 침해하지 않았다고 사용자에게 보장했습니다.

“모든 사용자 자금이 안전하며 위험에 처한 적이 없습니다.”라고 ZKSync은 화요일 게시글에서 말했습니다. “ZKsync 프로토콜과 ZK 토큰 계약은 보안이 유지되었습니다.”

나중에 프로토콜은 3일 이내에 자금의 90%가 반환될 경우 공격자에게 10% 보너스를 제공한다는 온체인 메시지를 발행하는 조치를 취했습니다.

이 제안에는 ZKSync Era 네트워크와 이더리움 메인넷 간에 ZK 및 ETH 토큰을 이체하기 위한 특정 지갑 주소가 포함되었습니다.

한편, ZKSync은 해커가 조건을 준수하지 않을 경우 문제가 법 집행 기관으로 escalated(승격)되어 ‘완전한 형사 조사’가 진행될 것이라고 경고했습니다.

해킹 이후 ZK 토큰의 가격은 일시적으로 $0.04로 급락했습니다. 그러나 코인게코 데이터에 따르면 지난 24시간 동안 2.6% 하락한 약 $0.05에서 안정화되었습니다.

ZKSync은 해커가 자금을 반환한 후 최종 조사 보고서가 준비 중이라고 밝혔습니다. 팀에 따르면 보고서는 완료되면 게시될 예정입니다. 이 사건은 스마트 계약 접근 제어, 특히 관리자 키 보안 및 에어드롭 메커니즘과 관련하여 재차 감시를 촉발했습니다.

Q1 암호화폐 해킹 16억 7,000만 달러로 급증, 주요 침해 및 거래소 익스플로잇 급증

이 해킹은 2025년 암호화폐 섹터를 괴롭히는 일련의 공격 중 최신 사례입니다. 블록체인 보안 기업 Immunefi에 따르면, 올해 첫 두 달 동안 약 16억 달러의 암호화폐가 도난당했습니다.

블록체인 보안 기업 CertiK의 별도 보고서도 equally troubling(마찬가지로 우려스러운) 그림을 제시하며, 올해 첫 분기에 해킹, 사기 및 익스플로잇으로 인해 16억 7,000만 달러가 손실되어 2024년 도난 자금의 총액 중 3분의 2 이상을 이미 차지했다고 밝혔습니다.

이 모든 가치의 상당 부분은 바이비트 해킹 사고(14억 5천만 달러 손실)에 기인하며, 이는 중앙화 거래소가 채택하는 보안 관행에 대해 여러 가지 심각한 의문을 제기했습니다.

개인 키 침해와 관련된 사건은 여전히 자금 도난 1위였으며, 15건의 사건과 1억 4,230만 달러의 손실을 차지했습니다.

아마도 더 우려스러운 점은 첫 분기에 도난 자금의 단 0.38%만 회수된 반면, 4분기에는 42%가 회수되었다는 점입니다. 2025년 2월의 도난 자금에서는 단 1달러도 회수되지 않았음을 주목할 필요가 있습니다.

이더리움은 가장 침해당한 블록체인으로, 98건의 공격과 15억 4,000만 달러의 도난이 발생했습니다.